CYBER NEWS

Een XSS Bug Gevonden (en Vaste) in Photos.Facebook.com

facebook-stforumWe houden allemaal van Facebook, maar weten we hoe veilig het is? Blijkbaar, niet zo veilig als het zou moeten zijn, as disclosed by the independent security researcher Jack Whitton also known as fin1te. The UK researcher just published an unbelievable story involving an XSS bug (cross-site-scripting) and Facebook’s content delivery network.

The researcher reported the bug back in July 2015 but didn’t go public just until few days ago.

Why Are XSS Bugs Dangerous?

What is an XSS vulnerability? Een XSS-aangedreven aanval vindt plaats wanneer kwaadaardige acteurs voeren kwaadaardige scripts om legitieme websites. Een XSS kwetsbaarheid wordt misbruikt wanneer u, bijvoorbeeld, stuur dan een website-inhoud die ingesloten kwaadaardige JavaScript omvat. De website zal later ook de code in haar antwoord.

Every time a website shows any content that comes from another source (such as an uploaded file or included in a URL address), the website should filter out any suspicious characters. Keep in mind that such characters usually include brackets and < > signs. Such signs are used to denote parts of a page that should be managed as images, koppelingen, scripts, etc.

The XSS Bug in Photos.Facebook.com

What did fin1te find? The researcher found a way to create a URL on photos.facebook.com, redirected to allocate his specially crafted file from the content delivery network (CDN). Met andere woorden, he succeeded in uploading a hidden script to the CDN, and retrieving it with the help of an innocently masqueraded link.

Once clicked by a user, the script would run in the browser like it was an official Facebook script. If the user is logged in, the crafted script could do practically anything the user would do – post messages, foto's, get access to private data, etc.

Having in mind how a social network works, such scripts could easily go viral, in a negative aspect. That is why an attack involving an XSS bug could be referred to as a worm-like threat. It can be deployed to spread itself automatically across any network, thus turning into a network worm or virus.

The XSS bug was fixed almost immediately after the researcher reported it to Facebook. Niettemin, he waited half a year to make it public so that Facebook security engineers have enough time to implement a better solution. He was awarded $7500.

Milena Dimitrova

Milena Dimitrova

Een geïnspireerde schrijver en content manager die heeft met SensorsTechForum sinds het begin. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim

Meer berichten

Volg mij:
Tjilpen

Laat een bericht achter

Uw e-mailadres wordt niet gepubliceerd. Verplichte velden zijn gemarkeerd *

Termijn is uitgeput. Laad CAPTCHA.

Delen op Facebook Aandeel
Loading ...
Delen op Twitter Gekwetter
Loading ...
Delen op Google Plus Aandeel
Loading ...
Delen op Linkedin Aandeel
Loading ...
Delen op Digg Aandeel
Deel op Reddit Aandeel
Loading ...
Delen op StumbleUpon Aandeel
Loading ...