Є спосіб користуватися послугами Uber безкоштовно

0
50

На сторінках свого блогу незалежний індійський дослідник Ананд Пракаш розповів про цікавий баг в додатку Uber. Проблема дозволяє користуватися послугами сервісу абсолютно безкоштовно і, за словами дослідника, працює як в США, так і в Індії. Про це повідомляє INVADERS з посиланням на iworm.com.ua

Пракаш пояснює, що все починається відразу після завантаження програми, коли користувач повинен вибрати спосіб оплати, прив’язавши до акаунту банківську карту або вибравши оплату готівкою. Пракаш виявив, що можна створити обліковий запис і встановити для нього некоректний спосіб оплати, після чого всі поїздки стануть безкоштовними.

Експлоїт, використаний Пракашем, можна побачити нижче. Вся справа в підміні ID способу оплати (payment_method_id) в запиті на хаотичне нагромадження символів, в даному випадку – «xyz».

POST /api/dial/v2/requests HTTP/1.1

Host: dial.uber.com

{«Start_latitude»:12.925151699999999,»start_longitude»:77.6657536,

«Product_id»:»db6779d6-d8da-479f-8ac7-8068f4dade6f»,»payment_method_id»: »xyz»}

Також дослідник продемонстрував proof-of-concept атаки на відео.

Пракаш повідомив про проблему розробникам Uber, скориставшись bug bounty програмою компанії на HackerOne. На даний момент проблема вже усунена. За інформацією видання TechCrunch, вразливість принесла досліднику винагороду в розмірі $5000.

Поділись

НАПИСАТИ ВІДПОВІДЬ

Please enter your comment!
Please enter your name here





Магазин: