Раскрыта уязвимость в Facebook, позволяющая удалить любое видео с сайта

Раскрыта уязвимость в Facebook, позволяющая удалить любое видео с сайта

Раскрыта уязвимость в Facebook, позволяющая удалить любое видео с сайта

Facebook выплатил исследователю 10 000 $ за обнаруженную уязвимость, которая позволяла удаленно удалить любое видео с сайта.

Эксперт Дэн Меламед (Dan Melamed) сообщил об этой бреши Facebook еще летом. Однако только в понедельник он раскрыл подробности, касающиеся этой уязвимости.

Дэн обнаружил, что видео, загруженные на страницу публичного мероприятия на Facebook имеют присвоенный им идентификатор. Размещая видео на странице, эксперт мог заменить его идентификатор на идентификатор видео, которое он хотел удалить, таким образом прикрепив это видео к своему посту. Далее все, что нужно было сделать исследователю, это удалить свое сообщение и целевое видео удалялось тоже.

Идентификатор видео можно легко получить из его URL. Злоумышленник может перехватить собственный запрос загрузки видео и заменить идентификатор.

Помимо удаления видео, тот же метод может быть использован для отключения комментариев под атакуемым видео. Это можно было сделать с помощью опции "Выключать комментарии" в том же самом выпадающем меню, в котором находится опция "Удалить сообщение".

Эксперты даже опубликовали видео, подтверждающее наличие уязвимости и демонстрирующее ее эксплуатацию.

Facebook потребовалось всего несколько дней после получения отчета эксперта, чтобы исправить брешь. Самому исследователю соцсеть решила выплатить 10 000 $ в качестве вознаграждения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Октябрьское обновление Windows 11 нарушило работу localhost и HTTP/2

После октябрьского обновления Windows 11 разработчики и пользователи начали жаловаться на неожиданную проблему: перестал работать localhost, то есть подключение к собственному компьютеру по адресу 127.0.0.1. Эта функция используется при тестировании сайтов, отладке программ и работе множества приложений.

Теперь же такие подключения по HTTP/2 просто обрываются с ошибками вроде ERR_CONNECTION_RESET или ERR_HTTP2_PROTOCOL_ERROR.

Сбой появился после установки октябрьского патча KB5066835 и даже более раннего — сентябрьского KB5065789. Пользователи массово жалуются на проблему на форумах Microsoft, Stack Exchange и Reddit.

Ошибка затронула множество популярных инструментов, включая Visual Studio, SQL Server Management Studio (SSMS), а также Duo Desktop — приложение, которое проверяет безопасность устройства и требует локальное подключение для авторизации.

В компании Duo уже предупредили: после обновления Windows 11 версии 24H2 и 25H2 приложение может не работать корректно, из-за чего возможны сбои при аутентификации.

Некоторые пользователи нашли временное решение — отключить поддержку HTTP/2 через системный реестр:

[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters]
"EnableHttp2Tls"=dword:00000000 
"EnableHttp2Cleartext"=dword:00000000

Другие сообщают, что им помогло обновление базы Microsoft Defender, но подтвердить это пока не удалось.

Пока же единственный надёжный способ вернуть работу localhost — удалить проблемные обновления с помощью команд:

wusa /uninstall /kb:5066835  
wusa /uninstall /kb:5065789

После перезагрузки Windows соединения с 127.0.0.1 снова начинают работать как прежде.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru