Facebook je priključio rupu koja je dozvolila otmicu računa

Facebook je zakazao ozbiljnu ranjivost koja je mogla dopustiti da napadači lakše dobiju pristup privatnim korisničkim računima i kontroliraju račune zavaravajući korisnike u otvaranje

Nir Goldshlager, istraživač koji tvrdi da je našao nedostatak i prijavio je na Facebook, objavio je detaljan opis i video demonstraciju kako je napad radio na svom blogu.

Ranjivost bi omogućila potencijalnom napadaču ukrasti osjetljive podatke koji su poznati kao oznake pristupa OAuth. Facebook upotrebljava protokol OAuth kako bi aplikacijama treće strane omogućio pristup korisničkim računima nakon što ih korisnik odobri.

[Daljnje čitanje: Kako ukloniti zlonamjerni softver s računala sa sustavom Windows]

Goldshlager je pronašao ranjivost na Facebookovim web mjestima za mobilne i uređaje s dodirnim zaslonom koji su proizašli iz neprikladnog sanitizacija puteva URL-a. To mu je omogućilo izradu URL-ova koji su mogli upotrijebiti za kradu pristupnog token za bilo koju aplikaciju koju je korisnik instalirao na svoj profil.

Iako je većina aplikacija na Facebooku aplikacije trećih strana koje korisnici trebaju ručno odobriti, postoji nekoliko ugrađenih aplikacija koje su unaprijed odobrene. Jedna od takvih aplikacija je Facebook Messenger; njegov pristupni token ne istječe, osim ako korisnik ne promijeni lozinku i ima opsežne dozvole za pristup podacima o računu.

Facebook Messenger može čitati, slati, prenositi i upravljati porukama, obavijestima, fotografijama, e-poštom, videozapisima i još mnogo toga. Ranjivost manipulacije URL-om pronađena na adresi m.facebook.com i touch.facebook.com mogla bi se iskoristiti za krađu korisničkog pristupnog token za Facebook Messenger, što bi omogućilo napadaču potpun pristup računu, rekao je Goldshlager.

Fingered by bug-hunter

URL napada mogao je biti skraćen s jednim od mnogih URL shortener usluga i poslan korisnicima koji se prikrivaju kao vezu na nešto drugo. Napad bi također radio na računima koji su omogućili autentifikaciju dvoznamenkastog Facebooka, rekao je Goldshlager.

Pomoću pristupnog token-a i ID korisnika Facebooka, napadač može izdvojiti podatke s korisničkog računa pomoću programa Graph API Explorer, alat za razvojne programere dostupan na Facebook stranici, Goldshlager je rekao petak putem e-pošte.

Prema Goldshlageru, Facebookov sigurnosni tim je odredio ranjivost. "Facebook ima profesionalni tim za sigurnost i brzo rješava probleme", rekao je. "Pozdravljamo istraživača sigurnosti koji nas je doveo na to pitanje i odgovorno prijavio bug našem programu White Hat", Facebookov predstavnik rekao je petak putem e-pošte. "Radili smo s timom kako bismo bili sigurni da smo shvatili cijeli opseg ranjivosti, što nam je omogućilo da to popravimo bez ikakvih dokaza da je ovaj bug korišten u divljini. Zbog odgovornog izvješćivanja o ovom problemu na Facebooku, nemamo dokaza da su korisnici utjecali na taj problem. Istraživaču smo nagradili za njihov doprinos Facebook Securityu. "

Istraživač tvrdi da je pronašao i druge ranjivosti povezane s OAuthom koje utječu na Facebook, ali nisu htjele otkriti nikakve informacije o njima, Facebook pokreće bug program za isplatu kroz koji plaća novčane nagrade sigurnosnim istraživačima koji pronalaze i odgovorno prijavljuju ranjivosti koje utječu na web stranicu.

Goldshlager je na Twitteru rekao da Facebook još nije plaćen prijavljujući ovu ranjivost, ali je istaknuo da njegovo izvješće uključuje više ranjivosti i da će vjerojatno dobiti nagradu nakon što se sve fiksiraju.

Facebook dobro isplati istraživačima sigurnosti za pronalaženje i prijavljivanje bugova, rekao je Goldshlager putem e-pošte. "Ne mogu vam reći koliko, ali oni plaćaju više od bilo kojeg drugog bug bugarnog programa koji znam."

Ažurirano je u 11:55 ujutro PT da uključi komentar s Facebooka.