Facebook исправила ошибку в Instagram, позволяющую скомпрометировать почти 1 млн аккаунтов

image

В сервисе отсутствовал механизм аутентификации.

Компания Facebook устранила уязвимость в Instagram, позволявшую получить доступ к порядка 1 млн временно заблокированных учетных записей. Проблему обнаружил бельгийский ИБ-эксперт Арне Свиннен (Arne Swinnen) в ходе исследования двух ошибок, связанных с отсутствием авторизации и недостаточной проверки пользовательских данных.

В прошлом Свиннен уже обнаружил несколько уязвимостей в сервисе. Некоторое время назад в процессе проверки одной из своих тестовых учетных записей специалист заметил, что URL содержал уникальный идентификатор пользователя. Данный идентификатор был инкрементальным в диапазоне 2.000.000000-2.001.000000.

При попытках заменить идентификатор пользователя Свиннен обнаружил отсутствие механизма аутентификации в сервисе. По словам эксперта, злоумышленник мог путем ввода правильных идентификаторов обновлять адреса электронной почты, связанные с временно заблокированными учетными записями, и, использовав функцию смены пароля по электронной почте, получить полный доступ к 1,690 аккаунтам (приблизительно 0,17% пользователей Instagram).

Продолжая экспериментировать с идентификаторами пользователя, Свиннен также смог получить доступ к привязанным к профилям номерам телефонов и использовать функцию восстановления пароля через SMS. Данная уязвимость затрагивает 38,808 (3,88%) учетных записей.

Свиннен сообщил о проблеме специалистам Facebook. Компания уже устранила ошибку и выплатила эксперту премию в размере $5 тыс.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.