Программная ошибка позволила баг-хантеру удалить живое видео на Facebook

Программная ошибка позволила баг-хантеру удалить живое видео на Facebook

Программная ошибка позволила баг-хантеру удалить живое видео на Facebook

ИБ-исследователь Ахмад Талахмех (Ahmad Talahmeh) опубликовал подробности уязвимости в службе видеотрансляции на Facebook, а также созданный им PoC-эксплойт. Разработчики платформы исправили ошибку, позволявшую удалить контент без согласия владельца, а баг-хантеру выплатили суммарно $14,5 тыс. за находку.

Сервис Facebook Live позволяет создавать видеоконтент в реальном времени, публиковать его, а также общаться с аудиторией в прямом эфире. По завершении трансляции пользователь может вырезать лишние кадры онлайн, руководствуясь временными метками начала и конца записи.

Как оказалось, при подаче через API запроса на сокращение видео до пяти миллисекунд система воспримет длительность видеозаписи как 0 секунд, и развернуть ее вновь не удастся. Заполучив ID документа и его автора, злоумышленник сможет скопировать его POST-запрос на загрузку, изменить конечное значение времени, чтобы вызвать сброс до нуля, и подать его снова. Система вернет ошибку, но команду выполнит.

За обнаружение этой проблемы Талахмеху выплатили $11 тыс. в ходе конференции BountyCon 2020. Еще две премии он получил позднее от Facebook — $1150 и $2300.

Выступая на BountyCon, исследователь также продемонстрировал способ восстановления обрезанной видеозаписи на Facebook от имени ее владельца. Эта находка принесла Талахмеху дополнительно $2875.

Баг-хантер также обнаружил возможность подмены информационных сообщений в бизнес-лентах Facebook — она появилась в связи с необходимостью мониторинга ситуации с COVID-19. Обновление страниц умышленно тормозится в ожидании новостей с этого фронта, и такие сообщения, как оказалось, можно вставлять в ленту вместе со ссылкой на сторонний ресурс. Для обновления нужны лишь ID страницы и полномочия аналитика (обычно таким пользователям разрешен доступ только на чтение). Эту находку Facebook оценила в $750.

Все проблемы, обнаруженные исследователем в соцсети, уже решены.

Roblox начал работать в России после договорённостей с Минцифры

Похоже, Roblox действительно возвращается в Россию. О том, что игровая платформа снова начала работать без ограничений, сообщила глава Лиги безопасного интернета Екатерина Мизулина.

«Мои подписчики говорят, что Roblox начал работать без ограничений», — написала она в своём телеграм-канале.

Новость появилась буквально через день после того, как Минцифры и Роскомнадзор сообщили о договорённостях с компанией. Российские власти заявили, что получили от Roblox гарантии по усилению защиты несовершеннолетних пользователей и после этого обратились в правоохранительные органы с просьбой поддержать снятие ограничений с платформы.

Переговоры между российской стороной и Roblox завершились в начале июня. По итогам консультаций компания признала, что существующие механизмы модерации и защиты детей работали недостаточно эффективно.

Речь шла о случаях распространения материалов, связанных с суицидальным поведением, наркотиками и вовлечением подростков в противоправную деятельность.

В ответ Roblox пообещала внедрить дополнительные меры безопасности. Уже в июне на платформе должны появиться возрастные категории Roblox Kids и Roblox Select, которые будут ограничивать доступ к играм в зависимости от возраста пользователя.

Кроме того, компания подтвердила готовность активнее бороться с контентом, который может нанести вред здоровью и развитию детей.

В Минцифры ранее подчёркивали, что Россия готова поддерживать работу международных цифровых платформ, если они соблюдают требования российского законодательства и обеспечивают защиту пользователей.

Напомним, доступ к Roblox был ограничен в конце 2025 года. Тогда причиной назывались систематические нарушения требований по удалению запрещённого контента и недостаточно эффективная работа механизмов модерации.

Если информация о полном восстановлении доступа подтвердится окончательно, Roblox станет одним из немногих крупных зарубежных цифровых сервисов, которому удалось договориться с российскими регуляторами и вернуться в привычный режим работы.

RSS: Новости на портале Anti-Malware.ru