Kritisk fejl afslørede på Facebook Fizz TLS-projekt

0
119

Facebook Messenger bliver unsend indstilling (du har 10 minutter)
Facebook ruller den unsend har det lovede i April sidste år.

Forskere har fundet en sårbarhed i open-source Facebook Fizz projekt, som er relativt let at udløse med henblik på en denial-of-service (DoS) angreb.

Facebook Fizz er en open-source-TLS-1.3 bibliotek skrevet i C++ 14. TLS er en af de nyere kryptering standarder for Internet til rådighed, og er blevet designet til at være efterfølger til SSL. TLS gennemfører en stærkere kryptering standarder, og har også fjernet støtte til ældre, mindre sikre algoritmer.

Som ZDNet har tidligere rapporteret, Facebook Fizz var åben oprindelse i August 2018. Systemet giver forbedret funktionalitet for middlebox håndtryk fejl og understøtter asynkrone I/O som standard.

Social networking gigant, der bruger systemet på sine egne interne og eksterne infrastruktur, hævder, at Fizz også reducerer hukommelse og CPU problemer.

Ifølge forskere fra Semmle, en “kritiske” fejl i projektet lagt åbne software for DoS-angreb.

Den sårbarhed, CVE-2019-3560, blev opdaget af Kevin Backhouse af Semmle Security Research team. Han opdagede et heltalsoverløb i en 16-bit unsigned tillæg i form af afsmag analyse, hvilket kunne udnyttes til at skabe en uendelig løkke i Boblevand, og derved skabe de nødvendige betingelser for et DoS-angreb.

Se også: Key takeaways fra fældende BRITISKE rapport om Facebook ‘ s world of “digital gangstere”

“Fizz er skrevet i et moderne C++ stil, så det er usandsynligt, at have noget som en buffer overflow, som er så almindelig i ældre C-projekter,” Backhouse sagde. “Det er derfor, jeg brugte QL til forespørgsel til heltalsoverløb i stedet. Istedet fandt jeg får kode til at gå ind i en uendelig løkke, som kan anvendes til at iværksætte et lammelsesangreb (denial of service-angreb.”

Et DoS-angreb, der udføres mod Syd kunne forhindre, at tjenesten bliver tilgængelig for brugere, men vil ikke resultere i nogen form for uautoriseret adgang til data.

CNET: Facial anerkendelse kan sætte dig gennem lufthavn sikkerhed, men der er en pris

Semmle rapporterede fejlen via Facebook Hvid Hat program på 20 februar 2019, og sikkerhedshul var “fast med det samme” på Facebook ‘ s interne servere. Et patch, der blev skabt og skubbet til GitHub på februar 25. En rettelse er også blevet inkluderet i Fizz version 2019.02.25.00 og senere.

Resultaterne resulterede i en bug bounty pris fra sociale netværk-giganten. Semmle modtog $10.000, er et gebyr, som er ved at blive fordoblet, og der blev doneret til velgørende og almennyttige organisationer.

TechRepublic: Svaghed i Android Instant Apps kan bruges til at stjæle historie, godkendelse poletter

Facebook sagde, at “mens denial of service-spørgsmål, er typisk ikke betragtes som en del af vores bug bounty program, dette indsendelse diskuteret scenarier, som kunne have haft væsentlig risiko.”

I relaterede nyheder, torsdag Facebook, der er optaget til opbevaring af Facebook, Facebook Lite og Instagram bruger passwords i klartekst. Mens læsbart format blev brugt internt, Facebook er ivrige efter at understrege, at der ikke er nogen beviser for, at dette ikke tilrådeligt praksis har ført til kompromis for enhver bruger-konti.

Tidligere og relaterede dækning

Facebook: Vi er lagret hundredvis af millioner af dine adgangskoder i almindelig tekst
Facebook blokerede over 1,2 millioner New Zealand optager videoer på upload
Facebook smækket over skjult app, der betaler for teenagere data

Relaterede Emner:

Sikkerhed-TV

Data Management

CXO

Datacentre