Facebook a bloqué le détournement du compte

Cette vulnérabilité aurait permis à un attaquant potentiel de dérober des informations sensibles connues sous le nom de jetons d'accès OAuth. Facebook utilise le protocole OAuth pour permettre aux applications tierces d'accéder aux comptes d'utilisateurs une fois que les utilisateurs les ont approuvées.

[Lectures supplémentaires: Comment supprimer les logiciels malveillants de votre PC Windows]

Goldshlager a trouvé une vulnérabilité sur les sites Web de Facebook pour les appareils mobiles et tactiles qui résultent d'un mauvais usage. désinfection des chemins d'URL. Cela lui a permis de créer des URL qui auraient pu être utilisées pour voler le jeton d'accès pour toute application qu'un utilisateur avait installée sur son profil.

Alors que la plupart des applications sur Facebook sont des applications tierces que les utilisateurs doivent approuver manuellement, il existe un quelques applications intégrées pré-approuvées. Une telle application est Facebook Messenger; son jeton d'accès n'expire que si l'utilisateur change de mot de passe et dispose de nombreuses autorisations pour accéder aux données du compte.

Facebook Messenger peut lire, envoyer, télécharger et gérer des messages, notifications, photos, e-mails, vidéos, etc. La vulnérabilité de manipulation d'URL trouvée sur m.facebook.com et touch.facebook.com, aurait pu être exploitée pour voler le jeton d'accès d'un utilisateur pour Facebook Messenger, ce qui aurait permis à l'attaquant d'accéder à son compte, selon Goldshlager.

Fingered par bug-hunter

L'URL d'attaque aurait pu être raccourcie avec l'un des nombreux services de raccourcissement d'URL et envoyée aux utilisateurs se faisant passer pour un lien vers quelque chose d'autre. Goldshlager a déclaré que l'attaque aurait également fonctionné sur des comptes dont l'authentification à deux facteurs était activée.

Avec le jeton d'accès et l'identifiant utilisateur Facebook, un attaquant peut extraire des informations du compte utilisateur en utilisant l'API Graph Explorer, Selon Goldshlager, l'équipe de sécurité de Facebook a corrigé la vulnérabilité. "Facebook dispose d'une équipe de sécurité professionnelle et ils résolvent les problèmes très rapidement", a-t-il déclaré.

"Nous félicitons le chercheur en sécurité qui a porté ce problème à notre attention et pour avoir signalé le bug à notre programme White Hat" dit vendredi par email. "Nous avons travaillé avec l'équipe pour nous assurer que nous comprenions toute la portée de la vulnérabilité, ce qui nous a permis de la réparer sans aucune preuve que ce bug a été exploité dans la nature. En raison du signalement responsable de ce problème à Facebook, nous n'avons aucune preuve que les utilisateurs ont été touchés par ce bug.

Le chercheur affirme qu'il a également trouvé d'autres vulnérabilités liées à OAuth qui affectent Facebook, mais a refusé de révéler toute information à leur sujet, car ils n'ont pas de chance.

Facebook exécute un programme de primes de bogues grâce auquel il verse des récompenses monétaires aux chercheurs en sécurité qui découvrent et signalent de façon responsable les vulnérabilités affectant le site.

Goldshlager a déclaré sur Twitter qu'il n'a pas encore été payé par Facebook pour signaler cette vulnérabilité, mais a noté que son rapport incluait plusieurs vulnérabilités et qu'il recevrait probablement la récompense une fois toutes les corrections apportées.

Facebook paie très bien les chercheurs en sécurité pour avoir trouvé et signalé des bogues, a déclaré Goldshlager par courriel. "Je ne peux pas dire combien, mais ils paient plus que tout autre programme de primes de bogue que je connais."

Mis à jour à 11:55 pm PT pour inclure un commentaire de Facebook.