Баги Facebook открывали доступ к спискам друзей и банковским картам

Баги Facebook открывали доступ к спискам друзей и банковским картам

Баги Facebook открывали доступ к спискам друзей и банковским картам

В прошлом году исследователь безопасности Йосип Франкович обнаружил баги в приложении Facebook, которые открывали доступ к закрытым спискам друзей и частично показывали информацию о банковских картах пользователей. На этой неделе он раскрыл детали обнаружения и исправления уязвимостей.

Франкович анализировал приложение Facebook для Android и обнаружил уязвимость, которая позволила ему получить доступ к списку друзей любого пользователя с помощью специально созданного запроса. Хотя пользователи Facebook могут запретить другим людям видеть своих друзей, уязвимость позволяла получить эту информации, независимо от настроек конфиденциальности.

Для своих мобильных приложений Facebook разработал GraphQL — язык запросов данных с открытым кодом. Запросы GraphQL можно использовать только для приложений Facebook — причем разрешены идентификаторы запросов только из белого списка — и для них требуется токен доступа.

Франкович обнаружил, что можно использовать клиентский токен из приложения Facebook для Android и обойти белый список, отправив запрос, содержащий параметр “doc_id” вместо “query_id”. После этого он стал отправлять запросы GraphQL и увидел, что запрос под названием CSPlaygroundGraphQLFriendsQuery раскрывал список друзей пользователя, чей ID был включен в запрос.

Вторая уязвимость, открытая экспертом, также была связана с GraphQL. Она позволяла потенциальным злоумышленникам получить информацию о платежной карте клиента, привязанной к аккаунту Facebook. Для этого нужно было отправить запрос, содержащий ID целевого пользователя и токен доступа, который можно было получить из приложения Facebook. Эта уязвимость раскрывала первые 6 и последние 4 цифры банковской карты, дату выпуска, тип карты, имя держателя, zip code и страну. Пользователи обычно вводят данные банковских карт на Facebook для оплаты рекламы.

Франкович сообщил Facebook о первой уязвимости 6 октября 2017 года, недостаток был исправлен к середине месяца. Баг с платежными данными обнаружился в феврале того же года и был исправлен в рекордные сроки — за 4 часа 13 минут. В начале этой недели исследователь написал об обнаруженных багах в своем блоге. Франкович не пожелал называть сумму, которую Facebook заплатил ему за обнаружение ошибок.

Ранее в этом году мы писали о том, как киберпреступники взломали Facebook-аккаунт президента Болгарии и о том, как социальная сеть атаковала своих пользователей потоками спама.

В Госдуме не будут запрещать соцсети для детей и подростков

Первый заместитель председателя комитета Госдумы по информационной политике Антон Горелкин опроверг заявления заместителя председателя того же комитета Андрея Свинцова, который ранее высказывался за запрет использования социальных сетей для детей младше 14 лет.

Об этом депутат заявил в своём канале в MAX. Напомним, Свинцов апеллировал к опыту Австралии, где аналогичный запрет для пользователей младше 16 лет уже действует.

За введение подобных ограничений также выступал член комиссии Общественной палаты по экспертизе законопроектов Евгений Машаров. Он предлагал ввести запрет на социальные сети для несовершеннолетних наряду с ограничением доступа к играм незарегистрированных в России издателей и блокировкой крупных зарубежных мессенджеров, объясняя это необходимостью снижения киберрисков для подростков.

Антон Горелкин, в свою очередь, считает, что возможные последствия такого запрета могут оказаться негативными. В качестве примера он приводит австралийский опыт:

«Власти Австралии рапортуют об успехах, однако всё больше подростков выбирают цифровые платформы, которые не сотрудничают с государством. Происходит массовая миграция детей в неконтролируемые уголки интернета — и это, на мой взгляд, намного опаснее».

Кроме того, как показали исследования, проведённые накануне введения запрета в Австралии, дети и подростки, включая младшие возрастные группы, без особого труда обходят подобные ограничения. Многие платформы соблюдают возрастные требования лишь формально и не проверяют реальный возраст пользователей. В результате ограничения реально соблюдали лишь около 10% несовершеннолетних.

RSS: Новости на портале Anti-Malware.ru