Специалист по безопасности Пранав Хиварекар (Pranav Hivarekar) рассказал в своем блоге, что в начале июня 2016 года он обнаружил критическую уязвимость в Facebook. Баг позволял удалить из социальной сети любое видео, невзирая на то, кому оно принадлежит.

Проблема, обнаруженная исследователем, возникла из-за новой функции, которую разработчики Facebook представили в начале июня. Эта функция позволяет размещать видео прямо в комментариях к постам.

Хиварекар заметил, что вставка видеороликов в комментарии происходит, основываясь на ID видео. Изучив работу API, исследователь понял, что с легкостью может удалить из социальной сети абсолютно любой ролик.

Для удаления чужого видео было достаточно написать комментарий, приложив к нему видеоролик, то есть использовав чужой video-id. Затем нужно было удалить этот комментарий. Из-за ошибки вместе с комментарием удалялось и само видео. Дело в том, что во время удаления Facebook не проверял, какому именно пользователю принадлежит видеоролик, и кто его загрузил. Удаление любого комментария, содержавшего определенный video-id, расценивалось как удаление самого видео. То есть разработчики социальной сети предполагали, что пользователи будут загружать и прикладывать к комментариям исключительно свои собственные видеозаписи.

«Данный баг скорее демонстрирует уязвимость в логике, нежели относится к уязвимостям типа RCE, SSRF и так далее, которые мы видим каждый день», — пишет исследователь.

Исследователь уведомил Facebook о проблеме 11 июня 2016 года, спустя два дня после добавления новой функции. Для первичного устранения бага разработчикам Facebook понадобилось всего 23 минуты, а спустя 11 часов вышел полноценный патч.

Хиварекар пишет, что получил пятизначное вознаграждение по программе bug bounty за обнаружение данной проблемы.

Вообще, я не знаю ни одного своего соседа,но всегда относился к ним с уважением, типо здоровался при встрече, придерживал дверь и т.п. Но сегодня я одних из них возненавидел .

Преамбула

Одни из моих соседей(которые до сих пор делают ремонт) не так давно поставили на дверь,ведущую от лифта к квартирам замок. Через некоторое время, видимо в целях пущей безопасности, убрали ручку с той стороны двери, что у лифтов. Дверь открыть можно также при помощи ключа, его надо довернуть и язычок отодвинется.Они также (для удобства) приделали новую ручку. Так что теперь, чтобы попасть на площадку между квартир нужен ключ.

У меня  есть собака,породы "дизайн-терьер". Она тот ещё паникёр;чуть что не то учует или услышит-сразу всех оповещает громким и продолжительным лаем на всю квартиру.Посему периодически надо просто выйти с ней на обе площадки, так сказать,"проверить", что все в порядке.

Фабула

Собакен снова оповещает меня о том,что она неладное чует. Ну и я пошёл "проверять" с ней.Вышел к лифтам, стою и понимаю, что дверь закрылась.Я без ключей, без телефона и дома-никого. "Зашибись просто"-говорю я себе и,ругаясь, начал искать возможность зайти обратно. Собака спокойно наблюдала за всеми моими действиями, видимо, понимая, что от меня ждать ничего не стоит.

Сначала я решил постучать по двери-хер там плавал,железная дверь+ ещё 3 внутри. Через несколько минут я посмотрел на пол и увидел металлический плинтус для линолеума. Я знал,что держатся они в некоторых местах хреново, ибо сам их с отцом ставил. Отодрав один, я подцепил им защиту из пластика на замке,дабы добраться до места ,где раньше была ручка.Но плинтус был слишком широкий, посему его надо бы загнуть чуть по краям,чтобы влез. Я начал сгибать его краешек, но несмотря на то, что металл довольно мягкий, да и сам я мальчик немаленький и не слабенький(мне 16,могу гирю 16кг 10 раз без толчка ногами поднять),я с трудом его подогнул с краёв(естественно не без помощи окружающих меня объектов(нет,не собаки)).Я много раз подходил, примерял, но все без толку.

Наверное, я бы еще долго бы гнул металл, если бы не пришёл сосед из квартиры напротив.Он открыл дверь ключом, я вошел, поблагодарил его и вошел в квартиру. Затем взял молоток, отвертку, КЛЮЧИ!!!!, и пошёл возвращать плинтус на место.

Мораль:1)не забывайте ключи и телефон дома 2) при установке замков на входную дверь на этаж и от лифтов, оставьте ручки на месте. Да, менее безопасно, но зато не придется отрывать и гнуть плинтуса, чтобы войти, если вы такой же дурак,как и я.

Спасибо что дочитали!! Добра вам, мира и всего хорошего!!

P.S. для тех кто дочитал фотка моего собакена

Прочитав сегодня пост про неадекватных личностей и сдержанных блюстителей закона... http://pikabu.ru/story/otelnyie_bayki_4299542 и решил написать свою историю случившуюся в прошлые выходные.

Начну наверно с того что подрабатываю барменом и самое весёлое всегда происходить именно в субботу ближе к утру и когда народ изрядно выпьет или кто-то придёт дальше заливаться пока ноги не откажут. Так вот ничего не предвещало беды, я уже посматривал на телефон ожидая сменщика и в предвкушении того что доби скоро будет свободен, но тут приходит подвыпившая девушка с парнем с виду 28-35 лет и садятся за столик, заказали выпивку и через какое то время решили позавтракать, девушке быстро приготовили салат и принесли а парень заказал яичницу с грибами и пока ждал активно охмурял свою спутницу.

И тут приносят парню долгожданное изысканное блюдо и не отрываясь от своей прекрасной мадам он начинает в нём ковыряться, а я в то время уже сижу под баром и втихаря питочу мармеладки, и неожиданно доносится визг из зала я аж поперхнулся и подумал что меня спалили а нет! Оказалось это визжал тот парень, к нему подошёл администратор и состоялся следующий диалог:

АДМ: что случилось?

П: яичницу которую вы принесли в ней есть грибы.

АДМ: ну так вы же её и заказывали?

П: девушка вы что? я не ем грибы утром, тем более на завтрак!

АДМ: так давайте с начала, вы сами выбрали это блюдо и в меню написано что в него входит?

П: но я не знал что оно с грибами я их на завтрак не ем, переделайте мне! а за это платить не буду!!!

АДМ: хорошо мы переделаем, но в любом случае вам придётся за него заплатить так как это не ошибка официанта по которой он мог случайно ошибиться и не то пробить, а ваш осознанный выбор и если вы не заметили или не прочитали что там есть грибы это не наша вина.

П: меня это не волнует... я не буду платить за него и вообще буду жаловаться и я имею права отказаться от него.

В итоге это продолжалось минут 20-30, все доводы были бесполезны парень был просто бронебойный а терпение нашего администратора дошло до точки кипения. Спокойным и непринуждённым голосом она спросила...

-Вы будете оплачивать счёт?

-Парень ответил...нет!

И админ с улыбкой на лице ушёл в служебное помещение, а гордый парень что отстоял свои права сидел заливал своей подруге дальше какой он молодец. Спустя 10 минут приезжает 2а наших блюстителя закона а на встречу радостно бежит наш админ и на ходу обрисовывает суть всей ситуации, и направляется к этому герою сея картины с полицейскими, дойдя до нашего персонажа начинают спрашивать так ли это? Он гордо говорит да! Полицейские пытались вразумить героя, что он говорит глупости и должен заплатить по счёту и администратор не бабушка Ванга в ре инкарнации, она не может знать что вы едите по утрам а что нет. На что он им отвечает что они должны знать это их работа!!!

Продолжалось это если не соврать окало часа и всё бес толку, просто парень приехал в танке в заведение из которого он ничего не слышал да и сидя в такой машине не обязательно понимать что от тебя хотят. Дальше парень начал говорить что позвонит своим знакомым они приедут, вы извинитесь и уедете от седа, но наши блюстители закона не лыком шиты, они тоже мило улыбнулись и присели за другой столик с администратором для написания заявления..., а в то время наш герой всё кому то пытался звонить и писать но что-то не удавалось. Да и я стоя за баром наблюдая весь этот цырк сочувствовал нашим полицейским что такое они видят почти каждый день на службе особенно их выдержке и спокойствию, всё хотел предложить им кофе пока они составляют протокол но ничего не смог сказать так как мармеладка застряла в горле и максимум что мог это наблюдать за происходящим и тихонько шкрябать вилкой на баре слово "хелп", и понемногу грустил от мысли что они уйдут а этот нехороший человек останется, но нет! Я ошибался! закончив писать протокол они подошли к нашему персонажу и спросили снова на что последовал категорический отказ, полицейские снова мило улыбнулись и лёгким движением руки скрутили нашего героя и унесли под руки на встречу к рассвету.

P.S. Сори что так длинно получилось

ну и по русскому тройки в школе были... =(

Приветствую всех обитателей данного чудесного ресурса. Мой пост имеет целью как минимум предостеречь и помочь людям, покупающим бытовую технику не попасть в неприятную ситуацию, в которой, к моему великому сожалению, оказался я. Посему прошу не закидывать минусами и не воспринимать данную писанину как жалобу. Как максимум, было бы чудесно получить дельный совет от юридически грамотных собратьев по ресурсу. Моя история, возможно, кому-то покажется совершенно рядовым разводом на лоха, однако ни я, ни кто-либо из моего окружения с подобным доселе не сталкивался. Кому-нибудь это, возможно, будет полезно.

И так поехали.

В одном из магазинов всем известной сети с названием из 3 букв, оранжевым оттенком логотипа и коричневым оттенком уровня сервиса, был приобретен в подарок сотовый телефон. В процессе эксплуатации были выявлены фоновые шумы при разговоре с другими абонентами. Я незамедлительно аки флеш понес телефон в магазин свято веря в гарантийный ремонт/справедливость/единорогов и прочую мифическую ересь. В процессе составления акта приемки-сдачи господин менеджер обратил внимание на небольшую ржавчину 0,5х0,5 мм на одном из винтов на тыльной части корпуса, что разумеется занес в протокол. Спустя 3 с копейками недели томительного ожидания, исключительно честная и не предвзятая экспертная служба этой богодельни постановила, цитата "обнаружены следы вскрытия и отсутствует датчик залития". Переводя с юридического на человеческий получилось, что до покупки мной "новый телефон из салона" успел познать все прелести дайвинга, которые не снились и старине Жак-Иву Кусто. Являясь по натуре своей крайне неконфликтным человеком, мысли разбираться и бегать по судам были отметены сразу. Идея была данного франкенштейна отремонтировать в стороннем сервисе, что потенциально сэкономило бы как минимум время, а может и деньги. Придя в салон, забирать данное чудо китайской индустрии улыбчивый менеджер вынес мне мой телефон, который не работал от слова СОВСЕМ и был мертвее чем всем известный исполнитель русского рэпа. Напоминаю, что принес я его с неисправно работающим микрофоном. На мой робкий вопрос "Какого рожна тут происходит? Я приносил вам РАБОЧИЙ телефон" молодой человек с наивной детской улыбкой ответил:-"Возможно после залития окислилась плата и теперь он может работать а может и нет =)". Простота и детская непосредственность такого ответа вогнала меня в легкий ступор и состояние глубочайшей фрустрации ибо подобный формат налюбилова граждан был для меня в новинку. Телефон я так и не забрал, уйдя из салона в смешанных эмоциях и с твердым намерением обратиться в соответствующие органы.

Уверен, что найдутся те, кто скажет "Нечего было щелкать лицом при осмотре покупаемого телефона" однако, учитывая габариты ржавчины на ОДНОМ винте из восьми, я полагаю любой мог попасть в аналогичную ситуацию. Вывод моего опуса прост и незатейлив, как улыбка менеджера: При покупке ЛЮБОЙ техники просто оценить визуальное состояние явно недостаточно. Обязательно, по возможности с увеличительной техникой, изучите места резьбовых соединений покупаемого товара дабы первоначальная радость покупки не обернулась головной болью и неприятным послевкусием. На этом я заканчиваю свое повествование, однако, данная история обречена на to be continued. Всем добра и будьте бдительнее.

P.S. Возвращаюсь к просьбе о совете у юридически и технически грамотных людей. Какова по вашему мнению вероятность при помощи независимой экспертизы доказать мою непричастность к вмешательству в конструкцию техники если в процессе экспертизы в салоне телефон полностью был разобран (а не только один открученный винт как было ранее) и соответственно пломбы уже сорваны. Второй нюанс состоит в том, что при составлении акта приемки-сдачи менеджер указал следы вскрытия и отдавая телефон в ремонт я эту портянку подписал. Есть ли смысл судиться с магазином если в случае проигрыша дела я получаю полностью мертвый телефон + счет за независимую экспертизу?

Заранее благодарю за конструктивные ответы.