Facebook Marketplace сливал точные координаты продавца и его товаров

Facebook Marketplace сливал точные координаты продавца и его товаров

Facebook устранила уязвимость в своей платформе Facebook Marketplace. В случае удачной эксплуатации этой бреши любой желающий мог определить геолокацию продавца и его товаров.

Площадка Facebook Marketplace доступна как из приложения социальной сети, так и через веб-сайт интернет-гиганта. С помощью Marketplace люди могут выставлять на продажу различные вещи.

Исследователь Джон Мосс, работающий с компанией 7 Elements, однажды заинтересовался вопросом возврата украденных вещей, для чего попробовал использовать информацию, которую можно собрать на Facebook Marketplace.

Именно благодаря этому анализу эксперт обратил внимание на JSON-ответы, которые передавало мобильное приложение Facebook. Мосс утверждает, что эти данные содержали точные географические координаты.

«В итоге мне удалось обнаружить, что злоумышленники могут использовать Facebook Marketplace для определения точных координат вещей, которые потенциально можно украсть», — пишет Мосс в блоге.

Чтобы подтвердить свою теорию, исследователь выставил на продажу несколько вещей, а затем получил их координаты без необходимости входа в Facebook.

«Меня больше всего беспокоит, что преступники могли бы достаточно легко получить координаты моих велосипедов. Это позволило бы им угнать их», — заявил эксперт.

Мосс утверждает, что Facebook стоило передавать приблизительные координаты, например, указывать почтовый индекс не полностью. Но в передаваемых данных в итоге было следующее:

Специалист утверждает, что Facebook дважды отклоняла его просьбу устранить эту проблему, ссылаясь на то, что это не уязвимость.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

МУЛЬТИФАКТОР запустил пуш-сервис с локализацией данных в России

Компания «МУЛЬТИФАКТОР» объявила о запуске пуш-сервиса собственной разработки — Pushed. Новинка работает в реальном времени и по всему миру, включая Китай; данные обрабатываются и хранятся только на территории РФ.

Скорость доставки пуш-уведомлений составляет 0,1 с. От бесплатных аналогов Pushed также отличает высокий процент доставки (99%).

Сервис предоставляет возможность аналитики отправленных сообщений, отслеживания статуса, кастомизации и каскадирования (отправка СМС, если пуш не доставлен). Он пригоден для использования на устройствах Apple, Android (6+) и российских платформах — «Аврора», «РОСА Мобайл», KasperskyOS.

Разработка вначале предназначалась для внутреннего пользования — в качестве резервного пуш-сервиса для мобильного приложения Multifactor на случай потери доступа к Google Firebase и Huawei Mobile Services. Такой сценарий вполне вероятен из-за массового ухода зарубежных провайдеров с российского рынка.

«Pushed — это сервис пуш-уведомлений с простой интеграцией, высокой скоростью доставки сообщений и качественной конверсией, который работает по всему миру и не несёт санкционные риски, — отметил Константин Ян, генеральный директор МУЛЬТИФАКТОРа. — Главное преимущество продукта в том, что он не использует иностранные сервисы, поэтому все данные пользователей обрабатываются в пределах нашей страны, а это, в свою очередь, гарантирует безопасность и защиту информации».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru