Баг нового дизайна Facebook позволяет удалить фото профиля пользователей

Баг нового дизайна Facebook позволяет удалить фото профиля пользователей

Баг нового дизайна Facebook позволяет удалить фото профиля пользователей

Уязвимость в новом дизайне Facebook можно использовать для удаления фото профиля любого пользователя. Речь идет о дизайне FB5, который соцсеть представила в апреле на конференции F8. О проблеме сообщил исследователь в области кибербезопасности Филипе Хэрвуд.

По словам Хэрвуда, в новом дизайне сайта для удаления фото профиля задействуется вызов GraphQL. Именно этот механизм можно использовать в злонамеренных целях, считает эксперт.

«Имя GraphQL-вызова для этих конкретных целей — profile_picture_remove. В обычных обстоятельствах этот вызов должен принять идентификатор страницы в поле profile_id. При смене этого идентификатора на ID профиля любого пользователя злоумышленник сможет удалить фото его профиля», — пишет Хэрвуд в блоге.

Стоит отметить, что удаление фото не происходит бесповоротно — при желании пострадавший юзер сможет вернуть его. Филипе Хэрвуд опубликовал PoC-код, с помощью которого можно использовать этот баг.

Facebook подтвердил наличие проблемы и выплатил исследователю $2500.

Напомним, что Facebook также наградил команду исследователей из Германии суммой в $100 000 за создание новой техники изоляции кода, которую можно использовать для защиты конфиденциальных данных в момент их обработки.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В PT NAD 12.3 добавили плейбуки и снизили требования к «железу»

Positive Technologies выпустила новую версию системы поведенческого анализа сетевого трафика PT Network Attack Discovery — 12.3. В обновлении повысили производительность, добавили облачное хранилище для метаданных, расширили возможности централизованного мониторинга и внедрили плейбуки для реагирования на инциденты.

Среди ключевых изменений — прирост производительности на 30% и оптимизация работы на слабонагруженных системах. Требования к «железу» снизились: нагрузка на CPU уменьшилась на треть, а потребности в оперативной памяти и SSD — вполовину.

Это особенно актуально для небольших инсталляций, например, с пропускной способностью 1 Гбит/с.

Обновили центральную консоль: теперь через неё можно скачивать дампы трафика и файлы, управлять ролями узлов, переименовывать их, отключать отслеживание активности и менять её статус. В планах — реализовать централизованное управление исключениями и базой знаний, чтобы упростить администрирование в распределённых сетях.

Появилась возможность хранить метаданные не только локально, но и в «облаке» — публичном или частном. Это даёт больше гибкости и позволяет платить только за реально используемый объём хранилища.

Добавлены новые инструменты для SOC: обновлённые модули анализа, репутационные списки и плейбуки — подробные инструкции по действиям при срабатывании сигнатур и активностей. Они включают описание атак и примеры из практики, что должно помочь операторам быстрее реагировать на угрозы.

Также система теперь умеет индексировать нестандартные поля заголовков HTTP, что пригодится при расследованиях и проактивном поиске угроз. В части интеграций улучшена работа с SIEM-системами: по syslog теперь можно передавать больше информации об атаках. Кроме того, появилась поддержка персональных токенов доступа PT MC, что упростит работу с API, в том числе из скриптов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru