В коде Facebook выявлена уязвимость, вскрывающая данные пользователей

В коде Facebook выявлена уязвимость, вскрывающая данные пользователей

Издание Hacker News сообщает, что программное обеспечение социальной сети Facebook подвержено уязвимости, в результате которой получить доступ к некоторым пользовательским аккаунтам можно без ввода пароля. Сообщается, что при помощи специально сгенерированного запроса можно даже через поисковые результаты в Google вскрыть пользовательские аккаунты. По оценкам специалистов, под ударом находятся около 1,32 млн учетных записей.

Также данная атака позволяет вскрывать пользовательские email-адреса, указанные в базе Facebook. Как следует из публикации, для того, чтобы получать доступ к пользовательским аккаунтам, необходимо завести хотя бы один аккаунт с действующим паролем и зайти в систему под ним. После этого, при помощи специально сконструированного запроса можно будет открывать аккаунты других пользователей. Авторы атаки говорят, что данному методу атаки подвержены далеко не все аккаунты, пишет cybersecurity.ru.

По словам специалистов, проблема в Facebook кроется в парсинге поисковых запросов со стороны серверного программного обеспечения соцсети. Популяризируется данная атака при помощи размещения специализированных гиперссылок на стенах пользователей, данные ссылки зачастую попадают в поисковые индексы. Соответственно, интернет-поисковики, переходя по ссылкам, индексируют закрытые пользовательские данные.

Вышеописанным способом в открытом доступе оказались уже более миллиона пользовательских аккаунтов, причем многие из аккаунтов принадлежат пользователям из Китая и России.

В заявлении Facebook говорится, что технические службы соцсети ведут работы по устранению уязвимости.

Сегодня же Facebook под давлением ирландского регулятора внесла ряд изменений, касающихся приватности пользователей. В Facebook изначально предполагали сделать эти изменения только для Ирландии, но позже было решено реализовать их глобально (они не работают только в США и Канаде). Новая система безопасности позволят более детально настраивать внешний доступ к данным пользователей, в частности в Хронике, а также разграничивать, как именно аккаунт работает с остальным интернетом и веб-приложениями.  

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Jinn Server 1.3.7 прошёл инспекционный контроль ФСБ и поступил в продажу

Программно-аппаратный комплекс электронной подписи Jinn Server версии 1.3 (сборка 1.3.7.218) прошёл инспекционный контроль ФСБ России и получил два сертификата соответствия. Первый — по классу КС1 для исполнения 1 (№ СФ/111-5166), второй — по классу КС2 для исполнения 2 (№ СФ/111-5167). Оба действуют до 17 мая 2028 года.

Продукт «Кода Безопасности» подтвердил соответствие требованиям к средствам криптографической защиты информации и электронной подписи — для работы с информацией, не содержащей сведений, составляющих гостайну.

В новой версии Jinn Server появились доработки, связанные с усилением электронной подписи: в CMS-формате теперь к полю подписанта добавляется дата и время создания подписи.

Это касается как пользовательских подписей, так и штампов времени, применяемых в форматах CAdES и XAdES.

Также появились новые правила обработки полей сертификатов — в зависимости от даты их выпуска, и добавлена поддержка расширения IdentificationKind в квалифицированных сертификатах.

Эти изменения позволяют соответствовать требованиям приказов ФСБ № 795 и № 476, что необходимо для использования решения в системах юридически значимого ЭДО.

Кроме того, Jinn Server теперь поддерживает российскую операционную систему РЕД ОС 7.3.1 МУРОМ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru