Facebook ha affrontato due seri problemi di sicurezza comunicati attraverso il gigante del social networking bug bounty programmi, tra cui un esterno fughe di dati che possono potenzialmente interessare più di un milione di utenti.
Alla luce di Cambridge Analytica scandalo, nel mese di aprile 2018, la società ha ampliato la sua bug bounty campo di applicazione per includere l’uso improprio dei dati personali degli utenti da parte degli sviluppatori.
Il programma, noto come l’Abuso di Dati Bounty regime, ha ricevuto un rapporto dalla “ronda di notte” il ricercatore di Sicurezza Yakov Shafranovich che ha dettagliato come un Android di terze parti applicazioni con Facebook API di accesso era la copia e la memorizzazione dei dati al di fuori del social network in maniera insicura.
Comunicati questa settimana, la mancata sicurezza è stato scoperto nel settembre 2018.
L’applicazione per Android, disponibile nel Google Play store, ha descritto se stesso come un modo per fornire “ulteriori funzionalità di Facebook gli utenti che non sono disponibili attraverso la piattaforma”, ed è stato scaricato più di un milione di volte.
TechRepublic: Come creare un account amministratore nascosto in macOS
Mentre non è noto come molti utenti hanno subito l’impatto, è noto che l’applicazione accede a dati utente tramite Facebook API e copiato queste informazioni per un Firebase database e del server API senza alcuna autenticazione o HTTPS protezioni.
“Questo consentirebbe ad un malintenzionato di massa-scarica i dati accumulati dall’applicazione da parte dei suoi utenti,” “ronda di notte” di Sicurezza, dice. “Non sappiamo con certezza quanti utenti sono stati influenzati o esposti, ma una delle basi di dati accessibili conteneva oltre 1.000.000 di record.”
La Facebook app associato con il software insicuro è stato rimosso, ma l’applicazione per Android è ancora disponibile.
La perdita di dati è stato segnalato tramite Facebook Abuso di Dati Bounty programma nel mese di settembre, portando alla insicuro sistemi di storage diventando protetti nel mese di novembre. In base alle regole del programma bug bounty pagamento è stato emesso, e mentre la cifra non è stata resa nota, Facebook offre sovvenzioni fino a $40.000 per il report validi.
Questo non è il solo problema di sicurezza di Facebook ha affrontato negli ultimi mesi. All’inizio di questa settimana, un cacciatore di bug che va sotto il nome di Samm0uda divulgato una protezione CSRF bypass vulnerabilità scoperte nei principali Facebook dominio web.
“Questo bug potrebbe hanno consentito a utenti malintenzionati di inviare le richieste con i token CSRF arbitrario endpoint su Facebook, che potrebbe portare ad un takeover di vittime conti”, il ricercatore ha detto. “In ordine per questo tipo di attacco, per essere efficace, un utente malintenzionato deve ingannare la destinazione, fare clic su un collegamento.”
Vulnerabile endpoint facebook.com/comet/dialog_DONOTUSE/?url=XXXX in che XXXX è dove il POST di richiesta dovrebbe essere fatta. Un token CSRF, fb_dtsg, viene aggiunto automaticamente alla richiesta del corpo, e se un utente visita l’URL di un predisposto, app dannoso, questo consente a un utente malintenzionato di utilizzare il token per dirottare conto dei processi.
“Questo è possibile a causa di un vulnerabili endpoint che prende un altro dato Facebook endpoint selezionato dall’aggressore con i parametri e fa un POST di richiesta per l’endpoint dopo l’aggiunta del fb_dtsg parametro,” Samm0uda aggiunto. “Anche questo endpoint è situato sotto il dominio principale www.facebook.com che rende più facile per gli hacker per ingannare le sue vittime a visitare l’URL.”
Durante il test la falla di sicurezza, il ricercatore ha scoperto che era in grado di pubblicare post sulla timeline, eliminare le immagini del profilo e di ingannare gli utenti di cancellare i loro account — a condizione che l’utente ha immesso la password all’eliminazione comandi.
Per poter dirottare un account, è necessario che un nuovo indirizzo email o numero di telefono per essere aggiunto l’account di destinazione. Tuttavia, questo richiede una vittima a visitare due Url separati.
Il bug bounty hunter necessari per bypassare le protezioni ricerca di endpoint che sono “avanti” parametro in gioco in modo un account di acquisizione può essere effettuata con un solo clic.
Vedi anche: l’Apertura di questo file di immagine concede agli hacker l’accesso al vostro telefono Android
Samm0uda creato diversi script ospitato all’esterno che, una volta che l’applicazione maligno è autorizzato, come utente, sono stati in grado di tirare token di accesso utente e bypass Facebook reindirizzamento protezioni per forza aggiungere una nuova e-mail per l’account di destinazione, potenzialmente permettendo a un utente malintenzionato di reimpostazione di una password e di assumere un gruppo di Facebook del profilo.
Dirottamento di Account è considerato un grave problema per Facebook e gli utenti. Il gigante tecnologico ha ricevuto una relazione della falla di sicurezza il 26 gennaio ed è stato fissato entro il 31 gennaio. Samm0uda ricevuto un bug bounty premio di $25.000 per i suoi sforzi.
CNET: Facebook, FTC riferito di negoziazione massiccia di multa per risolvere problemi di privacy
Precedente e relativa copertura
Questi programmi Android apps solo colpo quando si sposta il vostro smartphone
Questo Trojan si maschera da Google Play per nascondere sul telefono in bella vista
Falsi Google Android guida apps pretendiamo di mezzo milione di vittime
Argomenti Correlati:
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati