¿Lo creen si les dijésemos que al hacer clic en un solo enlace malicioso podría hackear su cuenta de Facebook? El escenario es muy posible debido a un cross-site solicitud falsificación crítico descubierto recientemente (CSRF) vulnerabilidad. La falla CSRF de Facebook podría permitir a los atacantes secuestrar cuentas simplemente atrayendo a los usuarios específicos para que hagan clic en la URL especialmente diseñada..
Vulnerabilidad CSRF de Facebook explicada
La vulnerabilidad fue descubierta por un investigador conocido en línea como Samm0uda. Al parecer,, se dio cuenta de un criterio de valoración errónea de que podría haber sido comprometida a eludir las protecciones CSRF que conduce a tener en cuenta las adquisiciones.
De acuerdo con la El informe del investigador y demostración:
El punto final es vulnerable https://www.facebook.com/comet/dialog_DONOTUSE/?url = XXXX donde XXXX es el punto final con los parámetros que se va a realizar la solicitud POST (la fb_dtsg token CSRF se añade automáticamente al cuerpo solicitud).
Esto le permitió hacer muchas acciones, en caso de que la víctima visita una URL creada con fines malintencionados con el fin.
Para la toma en cuenta para tomar su lugar con éxito, una nueva dirección de correo electrónico o número de teléfono tiene que ser añadido a la cuenta de la víctima.
El problema aquí es que la víctima tiene que visitar dos direcciones URL separadas – una para sumar el número de correo electrónico / teléfono, y uno para confirmar que debido a que los puntos finales “normales” utilizan para agregar mensajes de correo electrónico o números de teléfono no tienen un parámetro de “siguiente” para redireccionar al usuario después de una solicitud exitosa, el investigador escribió.
Para eludir este obstáculo, el investigador tenía que encontrar los puntos finales donde el parámetro “siguiente” estaba presente de manera que la toma de control de cuenta ocurre con una única URL.
Cabe señalar que una vez que se obtiene acceso a los tokens de autenticación del usuario, una dirección de correo electrónico controlado por el atacante se añade a la cuenta. Esto permite además atacantes para hacerse cargo de las cuentas simplemente restablecer las contraseñas y bloquear el usuario fuera de su / su cuenta.
Considerándolo todo, La vulnerabilidad CSRF de Facebook presentada por el investigador presenta un exploit completo con un solo clic que permite al atacante secuestrar cuentas fácilmente.. Sin embargo, esto se puede evitar con la ayuda de autenticación de dos factores añadido a la cuenta de Facebook. 2FA impediría que un actor de la amenaza de iniciar sesión en cuentas de las víctimas, a no ser que los atacantes son capaces de verificar el código de acceso de 6 dígitos que se envía al dispositivo móvil del usuario.
Cabe señalar que los atacantes todavía pueden ser capaces de explotar la vulnerabilidad y realizar varias acciones maliciosas como el cambio de imagen en el perfil del usuario o publicar en su línea de tiempo.
La vulnerabilidad ha sido reportada a Facebook de enero 26, y fue abordado en Enero 31. El investigador tiene Samm0uda $25,000 como recompensa a través del programa de recompensas de errores de Facebook.
Facebook ha despilfarrado aproximadamente $4.3 millones de dólares en más de 2,400 informes de errores, enviado por 800 los investigadores en los años 2011-2016. La mayoría de las vulnerabilidades reportadas a través del programa en este programa eran XSS (cross-site scripting) loco, insectos CSRF (como el que se describe en el artículo), y defectos de lógica de negocios.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: