Крейзи история о том, как 3 фаната ф1, которые шарят в компуктерах за 10 минут нашли уязвимость в безопасности портала FIA и получили доступ к личным данным всех зарегистрированных там гонщиков 🥴


Вот, что они рассказали в иксе:

«Чтобы участвовать в Формуле-1, гонщикам нужна Суперлицензия FIA. Это как “золотой билет” в автоспорт.
FIA также классифицирует гонщиков как Bronze, Silver, Gold или Platinum для других соревнований.
Эта система управляется через веб-портал driverscategorisation.fia.com.

Портал публичный, любой может создать учётную запись и подать заявку на категоризацию гонщика.
Вы загружаете документы, отправляете историю выступлений и ждёте одобрения.
То же самое и с профессиональными гонщиками F1, они получают автоматический статус Platinum и используют ту же систему.

Мы создали тестовую учётку, чтобы немного “покопаться”.
Как и на любом сайте, можно обновить свой профиль - изменить имя, почту и т. д.
Ничего особенного. Обычный пользователь редактирует свои данные.
Но затем мы заметили кое-что интересное…

Когда мы отправили запрос на обновление профиля, сервер вернул больше данных, чем мы ему передали.
Мы отправили: имя и почту.
А получили: имя, почту, дату рождения, статус и… поле “roles” (роли).
Почему сервер сообщил нам о ролях?

Мы посмотрели код сайта и нашли несколько типов ролей:
DRIVER (обычные пользователи)
FIA_STAFF (сотрудники)
ADMIN (полный доступ).

У нас появилась теория: а что если просто попросить сделать нас администраторами? Проверит ли сервер это вообще?
Мы изменили наш запрос обновления профиля, добавив туда: “Make me an ADMIN”
(технически — просто добавили роль ADMIN в JSON-запрос).
Отправили.
Ответ: HTTP 200 Success.
Подождите… это реально сработало? (Да, сработало…)


Мы снова вошли в систему.
Интерфейс полностью изменился.
Больше не отображалась панель гонщика — теперь это была админ-панель.
Доступны:
– все заявки гонщиков,
– все загруженные документы,
– внутренние комментарии FIA,
– инструменты управления персоналом.»

Мы также видели внутренние коммуникации FIA:
обсуждения комитетов о выступлениях гонщиков, частные оценки, конфиденциальные процессы принятия решений.
Всё, что видели сотрудники FIA - видели и мы.
Один запрос превратил нас из пользователей в администраторов.

Из любопытства мы открыли профиль Макса Ферстаппена — и могли загрузить:
– его паспорт,
– личные контактные данные,
– переписку с FIA,
– лицензионные документы.

Важное уточнение: мы НЕ скачивали и не сохраняли никакие паспорта или личные данные.
Мы лишь подтвердили существование уязвимости, сделали скриншоты для доказательства и сразу прекратили тестирование.
Все тестовые данные были удалены.
Никакая информация гонщиков не была скомпрометирована нами.

Так что же это была за ошибка?
Она называется “Mass Assignment” — классическая уязвимость веб-/API-безопасности.
Проще говоря: сервер доверял любым данным, которые мы ему отправляли, не проверяя, можно ли нам вообще изменять эти поля.

Мы сотрудничали с FIA, чтобы быстро устранить проблему.
Огромное спасибо их команде за оперативную реакцию и серьёзное отношение к вопросу.»



🤯😆🤯😆
ГДЕ ДЕНЬГИ, БЕН???? Куда идут деньги со штрафов за матюки и за опоздание на 10 секунд на исполнение гимна???? И это в мире где все трясутся за дата протекшон ?? А можно взломать систему, где будут данные о том, как он проводил свою «кампанию» по устранению конкурентов на выборах?))

Ангелочки Зака Брауна
🧡🧡🧡

🇲🇽 Кто помнит эту имбу 2023 года?
Хооооооли граааль, это было эпично. Я обычно забывают гонки на следующий день, но этот первый круг Мехико 2023 не забуду никогда.


Под каким давление Чеко тогда выходил на старт у меня не хватит даже слов описать. Его уже готовы были списать со счетов и 24 год в RB был под большим вопросом, но он и его команда в свойственной им манере уверяли, что все идет по плану и в Мехико, на родной земле он точно покажет всем, чего он стоит. Случилось то, что случилось. Хрестоматийная иллюстрация того, когда давление домашний гонки играет ужасную шутку с гонщиком.

Леклеру, доехавшему до подиума, потом пришлось извиняться перед всей Мексикой, хотя вины его было ровно ноль (отдельное внимание на то, как его рука эмоционально жила своей жизнью хаха). Но толпе было все равно, буинг был мощный.

Что пережил тогда Серега, я вообще не представляю.

🏦 Команда Aston Martin признала процедурное нарушение в своей отчетности по лимиту бюджетов за сезон 2024 года на фоне продолжительной задержки с публикацией выводов FIA.

Согласно правилам, команды обязаны предоставить документацию, подтверждающую соблюдение лимита расходов, до 31 марта следующего года. После тщательной проверки Администрацией по контролю за лимитом расходов FIA результаты обычно публикуются в сентябре, а командам выдаются сертификаты о соответствии. Однако в этом году такие сертификаты пока не были выданы, что указывает на то, что расследования по поводу соблюдения лимита, возможно, все еще продолжаются.

По информации Autosport, как минимум две команды стали объектом возможного расследования, и теперь известно, что одной из них является Aston Martin, которая заключила соглашение о признании нарушения (Accepted Breach Settlement) за пропуск срока подачи документов — 31 марта.

Источники сообщают, что, хотя команда подготовила всю необходимую документацию вовремя, аудитор не смог поставить необходимую подпись из-за чрезвычайных обстоятельств, не зависящих от команды.

Полагается, что Aston Martin в остальном соблюдала лимит расходов за 2024 год, и поскольку команда действовала добросовестно, штраф будет ограничен денежным взысканием за дополнительное оформление документов.
В соответствии со статьей 6.28 финансового регламента Формулы-1, соглашение о признании нарушения (Accepted Breach Agreement) — это механизм, при котором FIA предлагает наказание за процедурное нарушение или незначительное превышение бюджета, которое затем принимается командой.

Поскольку FIA намерена опубликовать все данные о соблюдении лимита за 2024 год одновременно, небольшое нарушение Aston Martin не полностью объясняет столь долгую задержку, и, по имеющимся данным, еще одна, не названная команда также находится под расследованием.

Последний раз команда F1 превысила сам лимит расходов в 2021 году — это была Red Bull, превысившая его на 5%. Тогда команда была оштрафована на 7 миллионов долларов и получила 10% сокращение времени на работу в аэродинамической трубе и CFD-тестированиях.


Как думаете, кто является второй командой превысившей косткап? 🙄