Noi tutti amiamo Facebook, ma sappiamo quanto sia sicuro? Apparentemente, non sicuro come dovrebbe essere, come rivelato dal ricercatore di sicurezza indipendente Jack Whitton noto anche come fin1te. Il ricercatore britannico ha appena pubblicato una storia incredibile che coinvolge un bug XSS (cross Site Scripting) e la rete di distribuzione di contenuti di Facebook.
Il ricercatore ha segnalato il bug a luglio 2015 ma non andare pubblico solo fino a pochi giorni fa.
Perché sono XSS insetti pericolosi?
Che cosa è una vulnerabilità XSS? Un attacco XSS-alimentato avviene quando gli attori maligni implementare script dannosi a siti web legittimi. Una vulnerabilità XSS viene sfruttata quando si, per esempio, inviare un contenuto del sito web che include incorporato dannoso JavaScript. Il sito sarà poi includere il codice nella sua risposta.
Ogni volta che un sito web mostra qualsiasi contenuto che proviene da un'altra fonte (ad esempio un file caricato o incluse in un indirizzo URL), il sito dovrebbe filtrare eventuali personaggi sospetti. Tenete a mente che tali caratteri di solito comprendono il supporto e < > segni. Tali segni sono utilizzati per indicare parti di una pagina che dovrebbe essere gestito come immagini, link, script, etc.
Il bug XSS in Photos.Facebook.com
Che cosa ha fin1te trovare? Il ricercatore ha trovato un modo per creare un URL su photos.facebook.com, reindirizzato a destinare il suo file appositamente predisposto dalla rete di distribuzione di contenuti (CDN). In altre parole, è riuscito a caricare uno script nascosto alla CDN, e il recupero con l'aiuto di un collegamento innocentemente mascherato.
Una volta cliccato da un utente, lo script avrebbe eseguito nel browser come se fosse uno script ufficiale di Facebook. Se l'utente è connesso, lo script predisposto può fare praticamente qualsiasi cosa l'utente avrebbe fatto - messaggi POST, foto, ottenere l'accesso a dati privati, etc.
Avendo in mente come funziona un social network, tali script potrebbero facilmente andare virali, in un aspetto negativo. È per questo che un attacco coinvolge un bug XSS potrebbe essere definito come un minaccia vermiforme. Si può essere implementato per diffondersi automaticamente su qualsiasi rete, trasformando così in un worm di rete o un virus.
Il bug XSS è stato risolto quasi subito dopo il ricercatore ha segnalato a Facebook. Ciò nonostante, ha aspettato un anno e mezzo di renderla pubblica in modo che Facebook ingegneri della sicurezza hanno abbastanza tempo per implementare una soluzione migliore. È stato premiato $7500.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: