Facebook выплатили эксперту 40 000 долларов за уязвимость в ImageMagick

Facebook выплатили эксперту 40 000 долларов за уязвимость в ImageMagick

Facebook выплатили эксперту 40 000 долларов за уязвимость в ImageMagick

Исследователь утверждает, что получил 40 000 $ от Facebook за обнаружение уязвимости удаленного выполнения кода в наборе программ ImageMagick. Брешь, о которой идет речь получила идентификатор CVE-2016-3714 и имя «ImageTragick». Информация о ней была раскрыта в мае 2016 года, по данным исследователей, эта уязвимость уже давно используется в реальных атаках и сейчас злоумышленники все чаще используют ее для получения удаленного доступа.

Так как ImageMagick используется несколькими плагинами для обработки изображений и присутствует во многих веб-приложений, исследователи сразу же начали искать уязвимость ImageTragick в сервисах крупных компаний, в том числе Yahoo.

Эксперт из России Андрей Леонов недавно обнаружил, что Facebook также использовал уязвимые версии ImageMagick. Исследователь заметил запрос на Facebook, который включал параметр с именем «picture», значением которого был URL. Изображение, получаемое при помощи этого параметра, преобразовывается перед тем, как отображается пользователю.

Леонов протестировал запрос на наличие бреши ImageTragick, в ходе этой проверки обнаружил, что конвертер изображений использует уязвимую версию библиотеки ImageMagick.

Леонов раскрыл некоторые технические детали этой уязвимости, но воздержался от обнародования эксплоита, который использует эту брешь. Эксплоит Леонов направил непосредственно в Facebook. По словам эксперта, Facebook присвоили этой уязвимости статус критической и выплатили ему вознаграждение в размере 40 000 $.

Google позволит включать продвинутую защиту Android без режима паранойи

Google готовит более гибкие настройки Advanced Protection — усиленного режима безопасности, появившегося в Android 16. Пользователям могут разрешить отдельно включать защиту USB, обнаружение вторжений и ограничения для небезопасных сетей Wi-Fi.

Будущие изменения обнаружили специалисты Android Authority при разборе Google Play Services 26.36.30.

В коде появилась секция Expert features — «Экспертные функции». Она описывается как дополнительный уровень защиты, способный накладывать отдельные ограничения.

В этот раздел Google, вероятно, перенесёт USB Protection. Функция запрещает устанавливать новые USB-соединения, пока экран смартфона заблокирован, защищая устройство от физического взлома.

Работает она на Pixel 6 и более новых моделях, но иногда мешает быстрой зарядке: та может не запускаться до разблокировки. Безопасно, зато телефон просит предъявить лицо даже зарядному кабелю.


Ещё одной опцией станет запрет автоматического подключения к открытым и другим небезопасным сетям Wi-Fi. Пользователь сможет отказаться от него, если регулярно подключается к публичным точкам доступа и готов самостоятельно оценивать риски.

Третьим пунктом станет обнаружение вторжений. Сейчас связанная с ним функция Intrusion Logging уже остаётся добровольной: она собирает журналы безопасности и хранит их резервную копию в облаке с оконечным шифрованием.

Остальные компоненты Advanced Protection после включения режима нельзя отключить по отдельности, что прямо отражено в документации Google.

Новая схема позволит сохранить базовый набор усиленной защиты, не соглашаясь на все ограничения одновременно. Впрочем, Google пока не анонсировала Expert features официально, поэтому сроки запуска неизвестны, а найденные настройки ещё могут измениться.

RSS: Новости на портале Anti-Malware.ru