Основы Интернет - технологий.

Независимый ИБ-исследователь Рони К. Рой (Rony K Roy) заработал 78 000 долларов США за обнаружение уязвимости во внутренней инфраструктуре службы поддержки Meta (деятельность компании признана экстремистской и запрещена на территории РФ). Эксперт рассказал, что найденный им баг мог привести к раскрытию переписки пользователей с поддержкой, загруженных файлов и персональных данных. В своем блоге Рой пишет, что обнаружил проблему и сообщил о ней разработчикам еще в январе 2026 года. Сначала исследователь решил, что нашел небольшой баг в механизме авторизации Meta Horizon Managed Solutions — корпоративной платформы для централизованного администрирования устройств Meta Quest. Однако дальнейший анализ показал, что проблема была намного серьезнее и затрагивала общую бэкенд-инфраструктуру поддержки Meta. По словам Роя, в апреле специалисты компании выпустили патчи и сообщили, что не обнаружили признаков эксплуатации уязвимости злоумышленниками. В основе бага лежало сочетание сразу нескольких проблем, связанных с контролем доступа, включая отсутствие проверок прав и IDOR (Insecure Direct Object Reference). Объединив эти ошибки в одну цепочку, атакующий имел возможность перебирать номера обращений в поддержку и мог получить доступ к связанным с ними тикетам. В результате под угрозой оказалась email-переписка и чаты пользователей с сотрудниками поддержки, детали обращений, прикрепленные файлы, а также персональная и контактная информация, которую клиенты передавали специалистам Meta. Рой подчеркивает, что потенциальная атака не ограничивалась чтением чужих данных. Также баг позволял создавать обращения от имени организаций, использующих Meta Horizon Managed Solutions, изменять процессы обработки тикетов, редактировать их статус и добавлять к обращениям посторонних подписчиков. Стоит отметить, что представители Meta не подтвердили ни исправление уязвимости, ни выплату исследователю 78 000 долларов США. Однако Рой действительно занимает одну из верхних строчек в рейтинге участников bug bounty-программы Meta за 2026 год. * Деятельность компании Meta признана экстремистской и запрещена на территории РФ.