Facebook присуждает исследователю 100 000 долларов за поиск ошибки, которая предоставила внутренний доступ

В октябре 2024 года исследователь безопасности Бен Садегипур анализировал рекламную платформу Facebook, когда обнаружил уязвимость безопасности, которая позволила ему запускать команды на внутреннем сервере Facebook, на котором размещена эта платформа, по сути, давая ему контроль над сервером.

После того, как он сообщил об уязвимости владельцу Facebook Meta, на исправление которой, по словам Садегипура ушло всего один час, гигант социальных сетей присудил ему 100 000 долларов США в виде выплаты вознаграждения за ошибку.

"Я предполагаю, что это то, что вы, возможно, захотите исправить, потому что это находится непосредственно внутри вашей инфраструктуры", - написал Садегипур в отчете, который он отправил Meta, сказал он TechCrunch. Мета ответил на его отчет, сказав Садегипуру «воздержаться от дальнейшего тестирования», пока они устраняют уязвимость.

Проблема, по словам Садегипура, заключалась в том, что один из серверов, который Facebook использовал для создания и доставки рекламы, был уязвим для ранее исправленного недостатка, обнаруженного в браузере Chrome, который Facebook использует в своей рекламной системе. Садегипур сказал, что эта не исправленная ошибка позволила ему захватить ее с помощью браузера Chrome без головы (по сути, версии браузера, которую пользователи запускают с терминала компьютера), чтобы напрямую взаимодействовать с внутренними серверами Facebook.

Садехипур, который обнаружил уязвимость Facebook, работая с независимым исследователем Алексом Чепменом, сказал TechCrunch, что онлайн-рекламные платформы делают сочные цели, потому что «так много всего происходит на фоне создания этих «реклам» — будь то видео, текст или изображения».

"Но в основе всего этого лежит куча данных, обрабатываемых на стороне сервера, и это открывает дверь для тонны уязвимостей", - сказал Садегипур.

Исследователь сказал, что он не проверил все, что мог сделать однажды на сервере Facebook, но «что делает это опасным, так это то, что это, вероятно, было частью внутренней инфраструктуры».

"Поскольку у нас есть выполнение кода, мы могли бы взаимодействовать с любым из сайтов в этой инфраструктуре", - сказал Садегипур. «С помощью [уязвимости удаленного выполнения кода] вы можете обойти некоторые из этих ограничений, а также напрямую извлечать вещи с самого сервера и других машин, к которым он имеет доступ».

Пресс-секретарь Meta Николь Каталано подтвердила получение запроса TechCrunch на комментарий, но не сделала комментариев к времени прессы.

Садегипур также сказал, что аналогичные рекламные платформы, которые управляют другие компании и которые он анализирует, уязвимы для аналогичных уязвимостей.