Уязвимость в PayPal позволяет обойти двухфакторную аутентификацию

Основатель и глава компании Vulnerability Lab Бенджамин Кунц Межри сообщил об уязвимости в мобильном приложении PayPal, позволяющей обойти двухфакторную аутентификацию и получить доступ даже к заблокированной учетной записи пользователя.

Брешь затрагивает версии программы для iOS и Android. С целью предотвращения мошенничества в некоторых случаях PayPal может запрашивать у пользователя подтверждение личности и блокировать его учетную запись.

Для того чтобы ее разблокировать, необходимо позвонить или отправить электронное письмо на адрес сервиса согласно всплывающей форме. Уязвимость позволяет удаленному злоумышленнику получить доступ к заблокированному аккаунту путем множественных попыток авторизации.

«Осуществляя множественные попытки запросить форму с помощью реально существующей учетной записи ([email protected]:chaos666), мы смогли обойти проверку подлинности личности ее владельца. API загружает контекст сайта, и пользователь может включить в процесс идентификации с помощью движка браузера собственный пользовательский аккаунт. Даже если учетная запись заблокирована, пользователь может получить доступ через мобильный API с уже существующими файлами cookie», — заявил г-н Межри.

Эта техника также срабатывает для обхода двухфакторной аутентификации, поскольку, получив доступ к учетной записи, мошенники могут изменить ее настройки, в том числе пароль. Глава Vulnerability Lab сообщил PayPal об уязвимости еще в апреле нынешнего года. Однако компания не исправила брешь, не посчитав ее критической.

Источник

Ну критической она может стать только для пользователей. Вот когда их затаскают по судам, тогда и исправят.

тогда и пожалеют они тоже

Думаю уже исправили. ПП очень крупная компания, им шумиха ненужна.

если бы они исправили, то не продавали бы РР на каждому углу ворованные.

новость неприятная единственный выход не ставить приложение на телефон сугубо мое мнение...