Найден баг, позволяющий взламывать страницы групп в Facebook

Найден баг, позволяющий взламывать страницы групп в Facebook

Индийский специалист по безопасности Лаксман Мутиях (Laxman Muthiyah) неоднократно зарабатывал неплохие деньги на программах вознаграждения за найденные уязвимости. Мутиях дважды находил дыры в коде Facebook. Нашел он и третью.

Баг позволяет взламывать так называемые Facebook business pages, то есть страницы компаний и различных сообществ.

Ранее Мутиях уже находил уязвимость, позволявшую удалять чужие фотоальбомы, за что получил от социальной сети $12 500. Затем, буквально месяц спустя, он обнаружил брешь в Facebook Photo Sync feature и заработал еще $10 000. А теперь Мутиях нашел баг, при помощи которого можно взломать страницы, принадлежащие различным фирмам и сообществам, то есть страницы, которыми управляет не один пользователь, сообщает xakep.ru.

Мутиях рассказал в своем блоге, что сторонние приложения могут получить практически полный контроль над Facebook-страницей. В итоге, это может привести к тому, что жертва полностью утратит свои права администратора.

Сторонним приложениям разрешено производить практически любые операции, в том числе, публиковать статусы от имени пользователя, публиковать фото, выполнять другие задачи, однако Facebook, казалось бы, не позволяет им добавлять кого-либо в список администраторов страницы или модифицировать его.

Зато Facebook позволяет администраторам присваивать различные роли людям, состоящим в организации\группе, через manage_pages – специальное разрешение доступа, запрашиваемое сторонними приложениями. Из-за этого, по словам исследователя, атакующий, при помощи простой последовательности запросов, может сделать себя админом определенной страницы Facebook.

Выглядеть это будет примерно так:

POST /PGID/userpermissions HTTP/1.1
Host: graph.facebook.com
Content-Length: 245
role=MANAGER&user=X&business=B&access_token=<application_access_token>

В данном примере страница PGID принадлежит компании B. Используя запрос manage_pages, можно присвоить пользователю X статус MANAGER, то есть сделать его администратором данной страницы. Фактически, атакующий может получить полный контроль над аккаунтом.

Чтобы удалить саму жертву из списка администраторов, тоже не потребуется много манипуляций:

Delete /<page_id>/userpermissions HTTP/1.1
Host : graph.facebook.com
Content-Length: 245
user=<target_user_id>&access_token=<application_access_token>

Исследователь уже сообщил о проблеме в Facebook и получил причитающиеся ему $2500 вознаграждения. Социальная сеть, в свою очередь, отчиталась об устранении бага. Тем не менее, Мутиях рекомендует всем пользователям внимательно следить за тем, какой доступ и к чему именно они предоставляют сторонним приложениям.

Путин подписал Антифрод-2: что изменится для банков, операторов и абонентов

Президент России Владимир Путин подписал закон, который вводит новый пакет мер против телефонного и финансового мошенничества. Документ уже окрестили «Антифрод-2», и он заметно расширяет правила игры как для операторов связи и банков, так и для самих пользователей.

Одно из главных нововведений — возможность установить самозапрет на входящие международные звонки. Снять его можно будет только лично через МФЦ, чтобы мошенники не смогли отменить ограничение дистанционно.

Ещё одна мера касается банковских карт. Теперь один человек сможет оформить не более 20 карт, что должно осложнить использование подставных счетов в мошеннических схемах.

В законе появилась и так называемая красная кнопка. Через портал «Госуслуги» и мессенджер МАКС пользователи смогут быстро сообщать о попытках мошенничества.

Кроме того, в России создадут единую базу IMEI — уникальных идентификаторов мобильных устройств. В неё будут включаться сведения о разрешённых и запрещённых к использованию устройствах. Наполнять базу станут операторы связи и уполномоченные государственные органы.

Документ также ограничивает массовые обзвоны. Без согласия абонента они будут разрешены только в случаях, прямо предусмотренных законодательством. Для остальных информационных звонков потребуется согласие пользователя, а Минцифры сможет устанавливать предельную стоимость таких услуг.

Ещё одно важное изменение — механизм компенсации ущерба. Если банк или оператор связи не выполнили предусмотренные законом меры по предотвращению мошенничества, пострадавший сможет рассчитывать на возмещение убытков. Однако если организация соблюдала все требования, а человек добровольно перевёл деньги злоумышленникам, компенсация не предусмотрена.

Также закон устанавливает минимальный срок действия договора связи: расторгнуть его теперь можно будет не раньше чем через 90 дней после заключения. По мнению авторов инициативы, это должно сократить использование одноразовых сим-карт в преступных схемах.

Новый закон стал продолжением пакета антифрод-мер, принятого в России в 2025 году.

RSS: Новости на портале Anti-Malware.ru