Facebook выплатил $20 000 за уязвимость, приводящую к взлому аккаунтов

Facebook выплатил $20 000 за уязвимость, приводящую к взлому аккаунтов

Facebook выплатил $20 000 за уязвимость, приводящую к взлому аккаунтов

Специалист в области кибербезопасности Винот Кумар получил от Facebook $20 000 за сообщение об уязвимости DOM XSS, которую можно использовать для получения контроля над аккаунтами пользователей.

По словам эксперта, брешь находилась в функции window.postMessage(), предназначенной для безопасного взаимодействия между объектами окна.

Кумар обнаружил, что Facebook Login SDK отправляет исходный пейлоад ифрейму v6.0/plugins/login_button.php. А сам ифрейм содержит URL кнопки «Продолжить через Facebook».

Когда пользователь кликает по этой кнопке, ссылка из пейлоада postMessage выполняется внутри ифрейма, благодаря чему открывается возможность для выполнения JavaScript-кода на Facebook.com.

Исследователь выявил два способа эксплуатации этого бага, один из которых подразумевает открытие всплывающего окна и коммуникации с ним, а второй — задействует ифрейм.

В случае успешной эксплуатации атакующий мог перехватить cookies сессии пользователя и получить контроль над его учётной записью. Кумар записал видео, в котором демонстрирует наличие бреши:

Мошенники крадут личности туристов для обмана других путешественников

Облюбовавшие Telegram мошенники предлагают аренду жилья российским любителям отдыха за рубежом, используя ранее украденные личные данные других обманутых туристов. Тренд уже приобрел массовый характер.

Целью данной аферы является отъем денег под предлогом оплаты брони. Очередное свидетельство подобного мошенничества представлено в телеграм-канале «База».

Задумав поездку в Таиланд, жительница Тулы Анастасия обратилась за помощью к менеджеру из контактов Дарьи Ловчевой. Та предложила несколько вариантов проживания в Пхукете и посоветовала почитать отзывы в созданной ею профильной группе.

После выбора претендентка скинула свои паспортные данные и внесла предоплату в размере 30%. Когда ей сообщили о необходимости уплаты еще 50% стоимости аренды, россиянка заподозрила подвох и потребовала возврат, однако собеседница исчезла из чата.

Как выяснилось, мошеннический сервис гостеприимства объявился в мессенджере в результате кражи личности Дарьи Логачевой, совершенной при аналогичном бронировании тайского жилья. Новоявленная туристка из Тулы теперь переживает, что ее данные тоже могут быть использованы для обмана других путешественников.

Схожим образом злоумышленники крадут деньги у желающих отдохнуть во Вьетнаме, Франции, Италии, Индонезии. Менее изощренные мошеннические схемы, ориентированные на туристов, обычно используют обзвон либо фишинговые сайты, активно плодящиеся перед долгими праздниками и в сезон летних отпусков.

RSS: Новости на портале Anti-Malware.ru