В Max нашли уязвимость: пользователи получили доступ к чужим фото и сообщениям

В мессенджере Max, который позиционируется как безопасный госсервис, выявлена критическая уязвимость, позволяющая несанкционированный доступ к чужим данным. Как сообщил один из белых хакеров, участвующих в программе по поиску багов, атака реализуется через вектор IDOR (Insecure Direct Object Reference).

Это означает, что злоумышленник может подменить идентификатор объекта в запросе к серверу и получить доступ к чужим фото, сообщениям или другим данным. Ранее представители Max категорически отрицали возможность такого взлома. Однако хакеры из программы по поиску уязвимостей подтвердили, что уязвимость действительно существует и может быть использована для несанкционированного доступа. По словам экспертов, IDOR — один из самых распространённых типов уязвимостей в современных приложениях, так как часто возникает из-за недостаточной проверки прав доступа к данным.

По данным хакеров, уязвимость чаще всего обнаруживается при анализе кода мессенджера на этапе тестирования безопасности.

В Max пока не комментируют инцидент, но эксперты призывают пользователей быть осторожными и не передавать конфиденциальную информацию через приложение до устранения уязвимости.

Появление такой уязвимости в государственном мессенджере вызывает серьезные вопросы к уровню его безопасности. Даже программы по поиску багов, которые обычно помогают разработчикам устранять уязвимости до их эксплуатации злоумышленниками, не смогли предотвратить эту проблему. Это лишний раз доказывает, что ни один сервис не застрахован от ошибок, а безопасность должна быть приоритетом на всех этапах разработки. Пользователям Max стоит временно воздержаться от передачи через него конфиденциальной информации, пока разработчики не выпустят патч.

Владимир Платонов