YouTube исправляет баг, позволявший хакерам удалять любые видео

01.04.2015 | 23:19 Экономика

Исследователь безопасности, к сожалению, не уничтожил видео Джастина Бибера.

Просто подумайте о мире, в котором Джастин Бибер не существует на YouTube.

Теперь подумайте о том, кто заработал $5000 за оповещение Google о баге, позволяющем хакеру удалить любое видео Бибера на сайте.

Это называется «ответственное» раскрытие. Но мы все еще можем помечтать о тихом мире без Бибера.

Исследователь безопасности Камиль Хисматуллин получил вознаграждение после того, как сообщил компании, как он мог удалять любые видео, заставляя сайт считать, что видео принадлежит ему.

После поиска уязвимостей межсайтового скриптинга, он наткнулся на логический баг, который позволял ему удалять видео с любым идентификатором, используя любой токен сеанса.

Судя по всему, это относительно простой баг, который можно было найти и использовать.

Служба безопасности компании Google исправила баг в тот же день, и заплатила Хисматуллину четырехзначную сумму вскоре после раскрытия.

Похожий баг появился в системах Facebook несколько недель назад. Он тоже был незамедлительно исправлен. Относительно простой баг позволял хакерам удалять любую фотографию в социальной сети.