Уязвимость на сайте ПриватБанка позволяла просматривать историю платежей любого пользователя

[Eva]

Эксплуатируя брешь, злоумышленник мог осуществлять HPP-атаки.

Независимый исследователь безопасности Максим Яремчук сообщил об уязвимости на официальном сайте ПриватБанка, позволявшей совершать HPP-атаки (HTTP Parameter Pollution). По словам эксперта, эксплуатируя брешь на privatbank.ua, можно было просматривать информацию о 170 млн осуществляемых через банк платежей.

«Уязвимость позволяла просматривать историю платежей любого пользователя в поддомене mypayments.privatbank.ua (сумму, статус, условия для осуществления платежа, дату и т.д.)», - сообщил исследователь.

По словам Яремчука, достаточно было добавить в ссылку

Для просмотра ссылки необходимо нажать Вход или Регистрация

TemplateID, при этом исследователь использовал свой токен.

В настоящее время уязвимость исправлена. В рамках программы вознаграждения за найденные уязвимости эксперту выплачен гонорар (сумма не уточняется).

 

[Alexey2321]

ПриватБанк - это не тот, что принадлежит Коломойскому?

 

[gudvinRC]

ПриватБанк - это не тот, что принадлежит Коломойскому?

да, тот самый
[DOUBLEPOST=1441720956][/DOUBLEPOST]

Эксплуатируя брешь, злоумышленник мог осуществлять HPP-атаки.

Независимый исследователь безопасности Максим Яремчук сообщил об уязвимости на официальном сайте ПриватБанка, позволявшей совершать HPP-атаки (HTTP Parameter Pollution). По словам эксперта, эксплуатируя брешь на privatbank.ua, можно было просматривать информацию о 170 млн осуществляемых через банк платежей.

«Уязвимость позволяла просматривать историю платежей любого пользователя в поддомене mypayments.privatbank.ua (сумму, статус, условия для осуществления платежа, дату и т.д.)», - сообщил исследователь.

По словам Яремчука, достаточно было добавить в ссылку

Для просмотра ссылки необходимо нажать Вход или Регистрация

TemplateID, при этом исследователь использовал свой токен.

В настоящее время уязвимость исправлена. В рамках программы вознаграждения за найденные уязвимости эксперту выплачен гонорар (сумма не уточняется).

зачотная новость. пойду сейчас украинским ребятам нос утру
[DOUBLEPOST=1441721143,1441720729][/DOUBLEPOST]Я им давно говорил чтоб пользовались услугами российских банко..

 

[Boretz]

Во-во, не банк, а зло! По сравнению с российскими так уж точно