… czy to bug czy ficzer? :) Ostatnio udało się załatać problem, który uniemożliwiał skasowanie konta na Facebooku użytkownikom którzy utworzyli „dużą liczbę postów”. Podatność ponoć została już załatana, przy okazji Facebook zwiększył też dany sobie czas potrzebny do ostatecznego usunięcia konta – z 14 do 30 dni. –ms
Czytaj dalej »Wczoraj pisaliśmy o hacku na Facebooka (aktywnie wykorzystywana przez napastników podatność, umożliwiająca przejmowanie kont). Pisało też o tym bardzo wiele światowych serwisów – m.in. Associated Press czy Guardian. Co w tym nietypowego? Ano to że, systemy bezpieczeństwa FB wykrywały ww. posty o temacie jako „spam”, a następnie je blokowały. No więc…
Czytaj dalej »Facebook poinformował o naruszeniu bezpieczeństwa, które skutkowało przejęciem kont użytkowników. Tym razem nie była to „potencjalna luka”, ale podatność przez którą atakujący rzeczywiście przejmowali konta: But it’s clear that attackers exploited a vulnerability in Facebook’s code that impacted “View As” (…) This allowed them to steal Facebook access tokens which they could then…
Czytaj dalej »Brytyjski ICO (odpowiednik naszego Urzędu Ochrony Danych Osobowych) proponuje dla Facebooka maksymalną karę (wg przepisów ochrony danych osobowych sprzed GDPR/RODO jest to 500 000 funtów). Jako powód wymienia się np. to: The Information Commissioner’s Office said Facebook had failed to ensure another company – Cambridge Analytica – had deleted users’…
Czytaj dalej »Wniosek patentowy Facebooka, zdradza właśnie tego typu mechanizm. Sygnałem do startu nagrywania ma być dźwięk emitowany np. z telewizji, jednak poza progiem słyszalności przez człowieka: The secret sound could be a very high-pitched voice, Facebook wrote, pitched just above the limit of human hearing. Po co taka funkcja? Aby dać…
Czytaj dalej »Facebook umożliwia przygotowanie pliku, w którym znajdziecie wszystkie (miejmy nadzieję) dane, które zebrał on o nas. Tego typu plik przygotował dla swojego profilu Dylan McKay i znalazł tam m.in logi rozmów telefonicznych (kto do kogo dzwonił, czas trwania rozmowy, status rozmowy): Podobnie zresztą było z SMS-ami – a Dylan od razu pisze,…
Czytaj dalej »To tylko wycinek wyników zaprezentowanej tutaj pracy: Specifically, we show how the adversary can infer users’ full phone numbers knowing just their email address, determine whether a particular user visited a website, and de-anonymize all the visitors to a website by inferring their phone numbers en masse. Skuteczność niemal 100%…
Czytaj dalej »Nie wiem czy wiecie, ale Facebook od niedawna daje możliwość tworzenia głosowań, do których można dodać też obrazki: Nowa funkcja to okazja na nowe bugi – i rzeczywiście – wystarczyło dodać do swojego głosowania ID zewnętrznych obrazków (z Facebooka), a serwis je akceptował. Ale co ważniejsze – przy kasowaniu głosowania…
Czytaj dalej »Najpierw Google, Dropox czy Github, a teraz wreszcie Facebook umożliwia wsparcie dla kluczy zgodnych ze standardem U2F: Using your security key is much like using a key to unlock a door. After entering your password, you can tap your physical security key instead of entering a special security code W skrócie: posiadając…
Czytaj dalej »Banalny błąd zgłoszony do Facebooka w ramach programu bug bounty (wypłacono $5000). W skrócie: zapraszałem kogoś do bycia adminem w mojej grupie, a w linku usuwającym zaproszenie był… podany zarejestrowany w Facebooku e-mail zaproszonego :-) Jak widać, czasem żeby być hackerem, wystarczy umieć uważnie czytać ;-) –ms
Czytaj dalej »Wg. szefa security Facebooka, używanie tych samych haseł w wielu serwisach to jeden z największych problemów: The reuse of passwords is the No. 1 cause of harm on the internet Facebook w swojej strategii bezpieczeństwa kupuje więc bazy haseł a następnie porównuje je ze swoimi hashami (co oczywiście wcale nie…
Czytaj dalej »Tym razem sprawa jest prosta – wystarczyło znać odpowiedni request HTTP (w mechanizmie business manager), w którym ustawiamy ID strony, którą chcemy przejąć i voila. Całość zajmowała mniej niż 10 sekund i została załatana przez Facebooka w 8 dni (przy czym po bardzo krótkim czasie podatna funkcjonalność w ogóle została…
Czytaj dalej »TL;DR: Wystarczyło wysłanie skanu sfałszowanego paszportu (nic się nie zgadza poza nazwiskiem ofiary) aby pracownicy Facebooka zmienili numer telefonu i e-mail związany kontem: Jak wyglądało przejęcie konta posiadającego dostęp do stron mających ~1 000 000 polubień? Wystarczyło napisać krótkiego maila: Hi. I don’t have anymore access on my mobile phone number….
Czytaj dalej »Jak informuje fiński serwis Iltalehti, 10-letni Jani otrzymał od Facebooka 10 tys. USD za zgłoszenie luki w Instagramie.
Czytaj dalej »Ciekawy i pełen technicznych smaczków wpis na tajwańskim blogu – dotyczący ataku na domenę: files.fb.com Autorowi udało się znaleźć w sumie 7 podatności, w tym 2 x zdalne wykonanie kodu – w tym jedno przez nieuwierzytelniony SQL injection: Analizując dalej system (w celu zgłoszenia całości do programu bug bounty), Tajwańczyk…
Czytaj dalej »