Уязвимость в платежной системе Киви позволяет получить личные данные пользователей

[reagent]

Все счета пользователей сервиса находятся в открытом доступе.

Сегодня на сайте habrahabr

Для просмотра ссылки необходимо нажать Вход или Регистрация

о наличии уязвимости в платежной системе Киви. Пользователь под ником ethoz опубликовал подробности эксплуатации бреши, позволяющей получить доступ к платежам всех пользователей сервиса.

Уязвимость состоит в недостаточной рандомизации идентификатора счета, по которому осуществляется доступ. Уязвимая ссылка выглядит таким образом:

Для просмотра ссылки необходимо нажать Вход или Регистрация

,

где параметр order является порядковым номером счета в БД. Удаленный пользователь может путем изменения параметра order просмотреть все счета, существующие в системе. Кроме информации о назначении платежа и суммы, есть возможность получить контактный номер телефона, на который была зарегистрирована учетная запись.

Согласно сообщению автора публикации, он сообщил о наличии бреши еще 6 месяцев назад, однако уязвимость не устранена до сих пор. Диапазон на момент отправки отчёта перевалила за 578417740 записей.

 

[marketmaker]

20 июля 2015 в 21:50
Привет из Киви!
Спасибо за такое освещение информации о данной проблеме, у нас получилось с ней быстро разобраться.
Fixed! Пожалуйста, подтвердите, что проблема более не воспроизводится.

И да, не могу не напомнить, что мы рады всем багам о которых вы нам сообщаете.
Вместе мы делаем Киви лучше и безопаснее.
Ждем Ваших репортов на нашу официальную программу поиска уязвимостей:

Для просмотра ссылки необходимо нажать Вход или Регистрация

Там же нам можно в комментах задавать любые вопросы и нажать кнопочку “потребовать разглашение данной уязвимости”


Быстро они закрыли брешь

 

[ChaSe]

20 июля 2015 в 21:50
Привет из Киви!
Спасибо за такое освещение информации о данной проблеме, у нас получилось с ней быстро разобраться.
Fixed! Пожалуйста, подтвердите, что проблема более не воспроизводится.

И да, не могу не напомнить, что мы рады всем багам о которых вы нам сообщаете.
Вместе мы делаем Киви лучше и безопаснее.
Ждем Ваших репортов на нашу официальную программу поиска уязвимостей:

Для просмотра ссылки необходимо нажать Вход или Регистрация

Там же нам можно в комментах задавать любые вопросы и нажать кнопочку “потребовать разглашение данной уязвимости”


Быстро они закрыли брешь

Они кстати в отличии от VK реально по 100$ за багу отдают. А VK лишь пишет, что сумма неуказана в итоге видел лично как много народу ничего не получили и самое интересное, баги им сообщали ранее, а фиксят их спустя годы)

 

[MrGold]

Спасибо за информацию, а то решил по заголовку уже киви скидывать

 

[Alexey2321]

Давным давно известно, что Киви для рассылки номера распространяли - помню, мучился в свое время народ со всякими спамами типа такси и натяжных потолков, бесконечно просто потоком шли смс