Сезон VK Security Confab 2026 объявляем открытым! И первая встреча — Bug Bounty Edition.

Когда: 19 марта
Где: Москва, БЦ SkyLight

Есть крутой кейс, полезный лайфхак или история, которыми стоит поделиться с коммьюнити? Приходите выступать! Ждем ваши заявки до 26 февраля.

🔹Хочу выступить!

VK Security | Буст этому каналу

#confab #митап #bugbounty

Привет! Меня зовут Владислав Верусь, я из команды инфраструктурной безопасности. Хочу рассказать кейс: один инцидент заставил нас полностью пересмотреть подход к GitHub — и в итоге привел к созданию собственной платформы для аудита безопасности.

Всё началось с отчёта от багхантера. В одном из наших публичных репозиториев на GitHub была опасная настройка: использовался триггер pull_request_target. Если кратко, он позволял коду из внешнего Pull Request запускаться с правами основной ветки — со всеми секретами и доступом.

Злоумышленник мог бы украсть токены, подменить процесс сборки или даже захватить репозиторий. К счастью, хакер действовал добросовестно и просто показал уязвимость.

Когда мы разбирали ситуацию, то поняли главное: проблема была не в одной настройке. У нас не было целостной картины. Мы не знали полного списка репозиториев, не отслеживали используемые сторонние скрипты и не имели системы мониторинга для таких рисков.

Мы решили не просто латать дыры, а выстроить полноценный процесс. Так появился внутренний проект — Mega GitHub Security Automation (MGSA). Мы прошли несколько ключевых этапов:

1️⃣Инвентаризация и контроль Actions. Мы нашли и проанализировали все сторонние скрипты в репозиториях (57 штук) и ввели «белый список». Теперь любой новый Action можно добавить только через запрос с согласованием безопасности.

2️⃣Харденинг. Мы написали подробное руководство по безопасности для репозиториев. Оно включает настройки доступа, защиту веток, обязательное использование Dependabot для обновлений и Secret Scanning для поиска утечек токенов.

3️⃣Автоматизация проверок. Чтобы стандарт работал, мы написали скрипты для сбора данных и мониторинга. Они показывали, какие репозитории отклоняются от правил. Это дало нам первую видимость.

Что это дало:
• Контроль над тем, какой код выполняется в наших CI/CD процессах.
• Понимание рисков и чек-лист для оценки новых настроек.
• Единые правила для всех команд, кто работает с GitHub.

Но на этом мы не остановились. Со временем старая система, построенная на скриптах, перестала справляться с ростом числа проектов и новых требований.

Мы пересобрали наш проект в MGSA — платформу с веб-интерфейсом. Теперь вместо сложных отчётов есть наглядный дашборд. В нём видно:
🔹Все репозитории и их статус безопасности.
🔹Конкретные проблемы с ссылками на правила.
🔹Возможность запустить проверку любого репозитория по запросу.
Это сделало работу и для нас, и для разработчиков гораздо проще и прозрачнее.

Что будет дальше?

Сейчас мы развиваем MGSA в трёх направлениях:
▫️Масштабирование. Подключаем репозитории новых команд и проектов.
▫️Расширение. Мы хотим, чтобы платформа работала не только с GitHub, но и с нашим внутренним GitLab, став единым центром аудита для всех Git-платформ.
▫️Интеграция. Планируем связать её с другими системами безопасности, например, для статического анализа кода (SAST), чтобы видеть полную картину по каждому проекту.

Мы прошли от реакции на одну уязвимость до построения проактивной системы, которая помогает предотвращать проблемы на раннем этапе. Главные выводы: нужны чёткие правила, автоматизация их проверки и, что важно, — удобный инструмент, который позволяет всем участникам процесса видеть общую картину.

VK Security | Буст этому каналу

#эксперты #проект #mgsa

Всем привет!

Продолжаем практику раскрытия отчётов от багхантеров! В этой подборке — находки, которые объединяет внимательность к деталям: нестабильная XSS, инъекция через SVG и тайминг-атака на странице восстановления аккаунта.

Нестабильная XSS
На сайте lady․mail․ru в параметре поиска q обнаружилась Reflected XSS, которая срабатывала не с первого раза. Но даже такая уязвимость не теряет актуальности: при повторных запросах код выполняется, а значит, злоумышленник может украсть куки или сессии. Уязвимость затрагивала несколько поддоменов:
▫️tv․mail․ru;
▫️health․mail․ru;
▫️deti․mail․ru;
но фикс был в одном месте.

🔹 Ссылка на отчет

XSS через SVG
В параметре query на otvet․mail․ru сработала инъекция через вложенные теги <svg>+<style>+<img>. После перехода по ссылке вредоносный код внедрялся в посты пользователей и выполнялся, оставаясь незаметным в URL.

🔹 Ссылка на отчет

Тайминг-атака на восстановление аккаунта VK ID
На странице id․vk․com/restore время ответа сервера отличалось для валидного и невалидного номера телефона (≈160 мс против ≈120 мс). Разница позволила написать скрипт для перебора номеров со скоростью 670 запросов в секунду — весь диапазон российских номеров можно было подобрать за короткое время.

🔹 Ссылка на отчет

Это только начало — мы будем и дальше выкладывать отчёты, так что следите за обновлениями!

🔹 Обсудить репорты вживую, поспорить с коллегами и задать вопросы экспертам VK? Легко! 19 марта на VK Security Confab!
Зарегистрироваться

VK Security | Буст этому каналу!

#bugbounty #разборы #confab