Възходът на Mastodon провокира интереса на специалистите по сигурност

Илън Мъск пое юздите на Twitter и запретна ръкави. Какво ще е бъдещето на социалната мрежа под ръководството на Мъск, дали зложелателите му ще познаят, че това е края на Twitter или ще направи сайтът „велик отново“, предстои да видим. Но промените, с които започна известният предприемач в компанията беше отчетен и лек отлив на потребители, което така или иначе се явява тенденция от години в социалната мрежа, която не спира да се бори с различен по характер проблеми. Този отлив от едно място се отразява разбира се в наплив към други сайтове и едно от тези кътчета в Интернет се оказа, че е независимата социална мрежа Mastodon, за което ви разказахме по-рано този месец.

В началото на ноември създателят на Mastodon се похвали с огромен ръст на скромната социална мрежа и достигането на 1 028 362 активни месечни потребители. За подобни сайтове с някой милиардер зад тях този брой може да е срам, но за независима медия явно си е успех. И дали поради медийно отразяване или друго, през почивните дни Mastodon се похвалиха с преминаването на границата от 2 000 000 активни месечни потребители. Този интерес към Mastodon е провокирал обаче вниманието на специалисти по сигурност, за което ни разказва Едуард Ковач от страниците на SecurityWeek.

Както вече ви разказахме преди, макар и да прилича като интерфейс на Twitter, приликите на Mastodon с известната социална мрежа приключват тук. Вече споменахме, че това е независима медия – няма огромна компания с дебел портфейл зад нея и един контролиращ орган, който определя правилата. Mastodon представлява децентрализирана структура с множество сървъри, за чиято поддръжка и управление помагат нейните потребители. Тези сървъри са подредени тематично и биват наричани „инстанции“, а правилата на общностите в тях се определят от самите тях.

Една от тези инстанции започна да получава подобаващо внимание от страна на специалисти по сигурност в последно време. Както може и да се предположи става дума за сървъра, който се явява средищно място за ентусиасти и професионалисти в областта на информационната сигурност – infosec.exchange. Освен, че са идентифицирали проблеми, свързани с тази конкретна инстанция, те са открили и такива, които може да засегнат цялата социална мрежа. Като например добре известна уязвимост, свързана с възможността за „инжектиране“ на произволен HTML код и кражба на потребителски записи, открита от Гарет Хейс от PortSwigger. Проблемът засягал версия на Mastodon, наречена Glitch и след доклада му, вече е оправен.

Друг проблем, този път не на уязвимост, а погрешно конфигурирана инстанция, който е можело да се използва за свалянето на всички данни на сървъра е открит от Ленин Алевски от MinIO. Същата грешка е можело да позволи свалянето на файлове, разменяни чрез директните съобщения между потребителите на платформата и даже изтриването на всички файлове на сървъра. Администриращият infosec.exchange бързо поправил грешката, но Алевски открил същия проблем и на други инстанции на Mastodon.

Друг специалист по информационна безопасност открил миналата седмица, че някой събира лични данни от Mastodon. Анураг Сен се натъкнал на база данни с над 150 000 потребители, която включвала псевдоними, имена, с които се били регистрирали потребителите, брой на акаунтите, които следва и които го следват. За щастие пароли нямало. Но имало имейл адреси, което може да спомогне за осъществяването на фишинг атаки.