Дослідник у галузі кібербезпеки Ахмад Талахмех (Ahmad Talahmeh) опублікував подробиці уразливості в службі відеотрансляції на Facebook, а також створений ним PoC-експлойт. Розробники платформи виправили помилку, яка дозволяла видалити контент без згоди власника, а баг-хантеру виплатили загалом 14,5 тисяч доларів за знахідку.
Сервіс Facebook Live дозволяє створювати відеоконтент в реальному часі, публікувати його, а також спілкуватися з аудиторією в прямому ефірі. Після завершення трансляції користувач може вирізати зайві кадри онлайн, керуючись тимчасовими мітками початку і кінця запису.
Як виявилося, при подачі через API запиту на скорочення відео до п’яти мілісекунд система сприйме тривалість відеозапису як 0 секунд, і розгорнути її знову не вдасться. Отримавши ID документа і його автора, зловмисник зможе скопіювати його POST-запит на завантаження, змінити кінцеве значення часу, щоб викликати скидання до нуля, і подати його знову.
Система поверне помилку, але команду виконає. За виявлення цієї проблеми Талахмеху виплатили 11 тисяч доларів під час конференції BountyCon 2020. Ще дві премії він отримав пізніше від Facebook – 1150 і 2300 доларів.
Виступаючи на BountyCon, дослідник також продемонстрував спосіб відновлення обрізаного відеозапису на Facebook від імені її власника. Ця знахідка принесла Талахмеху додатково 2875 доларів.
Баг-хантер також виявив можливість підміни інформаційних повідомлень в бізнес-стрічках Facebook – вона з’явилася у зв’язку з необхідністю моніторингу ситуації з COVID-19. Оновлення сторінок навмисне гальмується в очікуванні новин з цього фронту, і такі повідомлення, як виявилося, можна вставляти в стрічку разом з посиланням на сторонній ресурс.
Для поновлення потрібні лише ID сторінки і повноваження аналітика (зазвичай таким користувачам дозволений доступ тільки на читання). Цю знахідку Facebook оцінила у 750 доларів. Всі проблеми, виявлені дослідником в соцмережі, вже вирішені.
Радимо звернути увагу на поради, про які писав Cybercalm, а саме:
Як увімкнути записування відео HDR на iPhone? ІНСТРУКЦІЯ
Онлайн-шопінг у соцмережах: як не бути ошуканим?
Як правильно вибрати ноутбук? ПОРАДИ
Як безкоштовно надсилати захищені паролем електронні листи? ПОРАДИ
Нагадаємо, дослідники безпеки опублікували в Мережі PoC-експлойт для запуску шкідливого коду в Chrome, Edge, Vivaldi, Opera і інших браузерах на базі Chromium. Уразливість зачіпає JavaScript-движок V8 і вже виправлена в його вихідному коді, але виправлення поки ще не інтегровано ні з кодовою базою Chromium, ні з заснованими на ньому проектами.
Також дослідники виявили безліч уразливостей в популярних додатках, що допускають виконання довільного коду в системах користувачів всього лише за допомогою одного кліка. Саме тому такі баги отримали неформальне ім’я “уразливості одного кліка” (one-click vulnerabilities).
Розробники WhatsApp усунули дві небезпечні уразливості в Android-версії месенджера. Якщо зловмисник задіє ці дві уразливості в атаці, у нього з’явиться можливість виконати шкідливий код і віддалено зламати мобільний пристрій жертви.
Окрім цього, кіберзлочинці атакують уразливі сервери Microsoft Exchange з метою встановлення програмного забезпечення для майнінгу криптовалют у рамках шкідливої кампанії, спрямованої на використання обчислювальних потужностей скомпрометованих систем для заробітку.
