Uno sviluppatore Web ha scoperto una grave falla di sicurezza su Facebook che avrebbe permesso ad un attaccante di accedere a qualsiasi parte del profilo di uno sconosciuto tramite le autorizzazioni applicazioni. Anche se Facebook ha risolto questo problema, Nir Goldshlager, specialista di sicurezza delle applicazioni che cerca questo tipo di difetti professionalmente, ha trovato più bug nell'autorizzazione app che avrebbero bisogno di essere fissate, secondo il suo blog.
Le autorizzazioni app sono ciò che gli sviluppatori utilizzano per accedere ai dati utente necessari per eseguire le loro applicazioni. Gli utenti forniscono agli sviluppatori l'autorizzazione di accesso quando si installano le loro applicazioni. Nir Goldshlager ha trovato un paio difetti nel servizio
OAuth di Facebook e ha
descritto le sue scoperte sul suo blog. Lo sviluppatore ha notificato al social network la questione ed ha atteso prima di rendere pubblica la sua scoperta.
Facebook non ha voluto commentare sugli altri difetti che Goldshlager potrebbe aver trovato, ma ha detto che il bug originale rilevato non è stato sfruttato realmente dagli sviluppatori di applicazioni su Facebook. "Ci complimentiamo con il ricercatore di sicurezza che ha portato questo problema alla nostra attenzione e per averlo segnalato al responsabile del nostro bug White Hat Program",
ha scritto un rappresentante di Facebook a CNET via email.
"Abbiamo lavorato con il team per comprendere la portata della vulnerabilità, che ci ha permesso di risolvere il problema senza la prova che questo bug sia stato sfruttato in natura. In seguito alla segnalazione del problema su Facebook, non abbiamo alcuna prova che gli utenti siano stati influenzati da questo bug. Abbiamo fornito un premio al ricercatore per ringraziarlo di aver contributo alla sicurezza di Facebook", ha concluso il rappresentate del social network.
L'azienda non ha precisato quando Goldshlager ha segnalato il difetto. Goldschlager ha trovato un bug trovato che gli ha permesso di rubare il token di accesso e ottenere l'accesso completo a un profilo come sviluppatore. Ciò ha incluso i messaggi, gestione delle pagine, foto private e video. Mentre la maggior parte delle applicazioni su Facebook sono applicazioni di terze parti che gli utenti devono approvare manualmente, ci sono alcune applicazioni integrate che sono pre-approvate.
Una di queste applicazioni è
Facebook Messenger, il cui token di accesso non ha scadenza a meno che l'utente cambia la sua password e dispone di autorizzazioni estese per accedere ai dati dell'account. Facebook Messenger è in grado di leggere, inviare, caricare e gestire i messaggi, notifiche, foto, e-mail, video, e altro ancora. La vulnerabilità manipola l'URL trovato su m.facebook.com e touch.facebook.com, permettendo di rubare il
token di accesso di un utente.
L'Url di attacco avrebbe potuto essere accorciato con uno dei tanti servizi
URL Shortener e inviato agli utenti mascherato da un link a qualcosa d'altro. L'attacco avrebbe anche lavorato sugli account Facebook con
autenticazione a due fattori attivata. Con il token di accesso e l'ID utente di Facebook, un utente malintenzionato è in grado di estrarre informazioni dall'account utilizzando il
Graph API Explorer, uno strumento per sviluppatori disponibile sul sito di Facebook.
Non è la prima volta che un ricercatore di sicurezza trova una grave falla nel social network creato da Mark Zuckerberg. A luglio del 2011, Reda Cherqaoui, 22 anni, esperto di sicurezza informatica, aveva trovato un bug che permetteva di
accedere ai dati degli utenti di Facebook, senza bisogno di scoprirne nome utente e password. Il consiglio in questo caso è quello di essere cauti nell'installare applicazioni e leggere sempre le autorizzazioni che vengono richieste dallo sviluppatore. Potete controllare l'elenco delle app installate sul vostro profilo a
questo link.
