Facebook выплатил программисту $40 тысяч за найденную уязвимость

Выплата Леонову оказалась самой большой за все время существования программы вознаграждений за найденные уязвимости.

Администрация Facebook выплатила российскому программисту Андрею Леонову рекордные $40 тысяч за обнаружение уязвимости, с помощью которой взломщик мог выполнять произвольный код на серверах соцсети. Об этом пишет Fortune, процесс обнаружения ошибки Леонов описал в своем блоге.

Программист рассказал, что он обнаружил сбой, изучая обработку фотографий в Facebook. Соцсеть использует сервис ImageMagick для уменьшения размера изображений, на которые пользователь дает ссылку, и при загрузке на свой сервер проверяет только формат изображения - JPG, GIF или PNG, написал Леонов. Тип файла проверяется по первым байтам, что позволяет под видом картинки замаскировать любой файл, указал он.

Леонов сообщил об ошибке в Facebook 16 октября 2016 года, 19 октября уязвимость была устранена. В ноябре Facebook выплатила награду исследователю.

Представители Facebook сообщили Fortune, что выплата Леонову оказалась самой большой за все время существования программы вознаграждений за найденные уязвимости. Ранее наиболее крупная награда была выдана бразильскому программисту Режиналдо Сильве, который рассказал о способе получить доступ почти к любым файлам на серверах соцсети. В 2014 году он получил $33 тысячи.