Facebook выплатили эксперту 40 000 долларов за уязвимость в ImageMagick

Facebook выплатили эксперту 40 000 долларов за уязвимость в ImageMagick

Facebook выплатили эксперту 40 000 долларов за уязвимость в ImageMagick

Исследователь утверждает, что получил 40 000 $ от Facebook за обнаружение уязвимости удаленного выполнения кода в наборе программ ImageMagick. Брешь, о которой идет речь получила идентификатор CVE-2016-3714 и имя «ImageTragick». Информация о ней была раскрыта в мае 2016 года, по данным исследователей, эта уязвимость уже давно используется в реальных атаках и сейчас злоумышленники все чаще используют ее для получения удаленного доступа.

Так как ImageMagick используется несколькими плагинами для обработки изображений и присутствует во многих веб-приложений, исследователи сразу же начали искать уязвимость ImageTragick в сервисах крупных компаний, в том числе Yahoo.

Эксперт из России Андрей Леонов недавно обнаружил, что Facebook также использовал уязвимые версии ImageMagick. Исследователь заметил запрос на Facebook, который включал параметр с именем «picture», значением которого был URL. Изображение, получаемое при помощи этого параметра, преобразовывается перед тем, как отображается пользователю.

Леонов протестировал запрос на наличие бреши ImageTragick, в ходе этой проверки обнаружил, что конвертер изображений использует уязвимую версию библиотеки ImageMagick.

Леонов раскрыл некоторые технические детали этой уязвимости, но воздержался от обнародования эксплоита, который использует эту брешь. Эксплоит Леонов направил непосредственно в Facebook. По словам эксперта, Facebook присвоили этой уязвимости статус критической и выплатили ему вознаграждение в размере 40 000 $.

Подпишитесь на новости

Шадаев: дата-центрам лучше уйти под землю, чем за рубеж

Минцифры хочет, чтобы российские компании оставляли дата-центры в стране, даже если для этого их придется строить под землей. Об этом 12 ноября на CNews Forum 2026 сказал глава ведомства Максут Шадаев. Министр заявил, что предпочел бы, чтобы ЦОДы уходили под землю, а не релоцировались.

Подробнее о заявлении министра пишет «Коммерсантъ». Напомним, в октябре ВСУ атаковали пять дата-центров, среди них объекты «Сбера», VK и Яндекса.

После ударов по ЦОД Яндекса начались масштабные сбои в сервисах компании и у организаций, которые арендуют у нее вычислительные мощности.

В Минцифры ожидают, что спрос на новые дата-центры скоро вырастет, и считают, что их будут строить в защищенных или заглубленных местах.

До конца 2026 года министерство подготовит меры поддержки для строительства ЦОД в регионах. Среди них будет льготное кредитование.

Вынести мощности за границу по закону можно. Ноябрьский указ президента разрешает временно использовать вычислительные мощности за рубежом, но только по согласованию с ФСБ России.

RSS: Новости на портале Anti-Malware.ru