Пожалуйста хватит! Facebook заспамил пользователей sms-сообщениями

Пожалуйста хватит! Facebook заспамил пользователей sms-сообщениями

Пожалуйста хватит! Facebook заспамил пользователей sms-сообщениями

Пользователи Facebook, перешедшие на двухфакторную аутентификацию, пожаловались на гору спама в сообщениях от компании. После подключения на телефонные номера, использованные при регистрации, стали приходить многочисленные SMS. Но самое странное произошло, когда пользователи в бешенстве стали отвечать на сообщения. Их ответы начали появляться в виде постов на их же страницах в Facebook.

Lewis_Twit

В ответ на жалобы представитель компании не сказал ничего вразумительного, заявив The Verge:

“Мы позволяем людям самим контролировать уведомления, в том числе поступающие от систем безопасности, таких как двухфакторная аутентификация. Мы следим за ситуацией и стараемся понять, можем ли сделать больше, чтобы помочь людям управлять своей коммуникацией”.

Также представитель компании посоветовал пользователям вместо номера телефона использовать генератор кода, например, Google Authenticator

Пока непонятно, являются ли навязчивые уведомления багом или новым маркетинговым инструментом Facebook, который должен “увеличить вовлеченность” пользователей в коммуникацию с платформой. Но очевидно, что страсть Facebook к общению демотивирует людей использовать усиленную систему защиты своих данных.

“Больше всего расстраивает, что Facebook должен мотивировать людей пользоваться двухфакторной аутентификацией, а вместе этого он убивает это желание и делает пользователей менее защищенными”, — говорит Мэтт Грин, профессор Института информационной безопасности университета Джона Хопкинса, который выполнял контрактную работу для Facebook в прошлом. 

Ряд пользователей также сообщили о бурном потоке email-сообщений, в которых компания уведомляла их о ежедневных “новостях” из жизни их Facebook-друзей. Дальний родственник обновил статус, школьная подруга прокомментировала чью-то фотографию — все эти важные события, по мнению корпорации, требовали отдельных писем. 

Многие уверены, что гора уведомлений — не ошибка в системе, а осознанная стратегия Facebook.

"Я думаю, они рассчитывают на то, что это вызовет привыкание. Не у всех, лишь у части людей, получающих спам. Но если это сработает хотя бы на 10%, это уже будет победой для них”, — считает Дэвид Гринфилд, основатель центра Интернет и технологической зависимости.

Гринфилд также отметил, что Facebook — не первая платформа, практикующая такого рода кампании. Twitter с прошлого года отправляет push-уведомления, например, когда люди, которых вы читаете, взаимодействуют с одним и тем же твитом.

Напомним, что ранее Facebook неоднократно обвиняли в незаконном сборе данных пользователей.

Критическая уязвимость в telnetd жила почти 10 лет и давала root-доступ

Исследователь по информационной безопасности Саймон Йозефссон обнаружил критическую уязвимость в компоненте telnetd, входящем в состав GNU InetUtils. Брешь незаметно существовала почти десять лет — с мая 2015 года — и позволяла удалённо входить в систему без аутентификации, сразу под пользователем root.

Проблема затрагивает все версии GNU InetUtils с 1.9.3 по 2.7 включительно. По сути, любой злоумышленник при определённых условиях мог получить полный контроль над системой, даже не зная пароля.

Как поясняет Йозефссон, сервер telnetd запускает системную утилиту /usr/bin/login, обычно от имени root, и передаёт ей имя пользователя. В уязвимой реализации это имя можно получить из переменной окружения, переданной клиентом.

Если клиент подсовывает значение -f root и подключается к серверу с опцией telnet -a (режим автологина), происходит следующее:

  • telnetd передаёт значение переменной окружения USER напрямую в login(1);
  • никакой проверки или экранирования не выполняется;
  • login(1) воспринимает -f root как служебный параметр;
  • а параметр -f означает вход без проверки пароля.

В итоге сервер автоматически аутентифицирует подключение как root — полностью обходя процесс валидации.

Обычное подключение по telnet не позволяет указать имя пользователя в таком виде. Однако в режиме автологина (-a) имя пользователя берётся не из командной строки, а именно из переменной окружения USER.

Именно здесь и кроется корень проблемы: telnetd доверял содержимому USER без какой-либо валидации. Достаточно было установить переменную окружения в значение -f root, и система сама открывала дверь.

Йозефссон показал рабочий пример атаки на системе Trisquel GNU/Linux 11, где после одной команды пользователь моментально получал root-доступ.

Как выяснилось, уязвимость появилась в коммите от 19 марта 2015 года и попала в релиз GNU InetUtils 1.9.3 от 12 мая того же года. Изначально изменение задумывалось как исправление проблемы с автологином в средах с Kerberos — разработчики добавили передачу имени пользователя через переменную окружения, но забыли проверить её содержимое.

Саймон Йозефссон рекомендует как можно скорее ограничить сетевой доступ к telnet-порту только для доверенных клиентов; установить патч или обновиться до версии GNU InetUtils, в которой уязвимости нет;  в идеале — ещё раз задуматься, нужен ли telnet в инфраструктуре вообще.

Напомним, в этом месяце мы сообщали об опасной уязвимости в GNU Wget2, которая позволяет удалённо перезаписывать файлы.

RSS: Новости на портале Anti-Malware.ru