Kako neko može videti sve slike i video snimke na vašem zaključanom telefonu zahvaljujući Facebook bagu

Društvene mreže, 16.06.2021, 09:00 AM

Kako neko može videti sve slike i video snimke na vašem zaključanom telefonu zahvaljujući Facebook bagu

U Facebookovoj funkciji Messenger Rooms otkriven je bag koji omogućava napadaču da pristupi svim privatnim fotografijama i video snimcima, kao i drugim osetljivim podacima sačuvanim na zaključanom telefonu.

Kao što se vidi na video snimku koji je kao dokaz koncepta dostavljen Facebooku zajedno sa izveštajem o ranjivosti, Facebook nalog bi mogao biti preuzet pozivom u Messenger Room. Iako je potreban fizički pristup žrtvinom uređaju, napad se mogao izvesti bez otključavanja telefona ili tableta. Ovo otkriće donelo je nepalskom istraživaču Samipu Arialu nagradu od 3.000 američkih dolara.

Otkriće Ariala podstaknuto je sličnim bagom Messengera koji je isti istraživač otkrio u oktobru 2020. godine. Tada je Arial otkrio da je mogao da vidi privatne sačuvane video snimke žrtve, video snimke koje je gledala i video snimke koje je delila bez otključavanja telefona tokom Messenger razgovora putem funkcije “Watch Together”.

Bag, koji je takođe mogao da iskoristi samo napadač sa fizičkim pristupom zaključanom Android pametnom telefonu, je uklonjen a Facebook je ispravio još nekoliko sličnih bagova tako da sada traži da se telefon otključa pre korišćenja tako osetljivih funkcija sa zaključanog Android telefona.

Arial kaže da je odlučio da primeni isti pristup hakovanja na funkciju Messenger Rooms poziva i otkrio je da se funkcija ćaskanja može aktivirati tokom razgovora bez otključavanja Android pametnog telefona ili tableta žrtve.

Arial je koristio dva test Facebook naloga. Na jednom je bio prijavljen na Android telefonu i taj nalog je igrao ulogu žrtve, a na drugom je bio prijavljen na računaru i to je bio nalog napadača. Android telefon je bio zaključan. On je sa naloga napadača kreirao sobu i pozvao nalog žrtve da se pridruži. Zatim je pozvao nalog žrtve iz odeljka “Pozvani korisnici”. Posle nekoliko sekundi, telefon, čiji je ekran bio zaključan, počeo je da zvoni. Arial je odgovorio na poziv sa telefona i isprobao sve ranije poznate osetljive funkcije, ali za sve te funkcije, telefon je morao najpre biti otključan da bi mogle da se koriste.

Do napretka je došlo kada je istraživač primetio opciju u gornjem desnom uglu ekrana za ćaskanje učesnika u sobi.

„Otkrio sam da mogu da pristupim svim privatnim fotografijama/video snimcima na tom uređaju čak i bez otključavanja telefona“, kao i da objavljujem priče na Facebook profilu žrtve prijavljene na nalog klikom na opciju „uredi“ za bilo koji medij“, objasnio je on.

Prema rečima Ariala, Facebookov tim za bezbednost objavio je u roku od jednog dana od njegove prijave hitnu ispravku za ranjivost na strani klijenta, kao i na strani servera, da bi je popravio i u ranijim ranjivim verzijama.

Iznos nagrade bilo je dobrodošlo iznenađenje, rekao je nepalski istraživač, jer je scenario napada zahtevao fizički pristup žrtvinom uređaju, iako se primarna barijera za autentifikaciju uređaja pokazala neefikasnom u ovom slučaju.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Zbog greške neki korisnici Twittera ostali prijavljeni na drugim uređajima posle resetovanja lozinke

Zbog greške neki korisnici Twittera ostali prijavljeni na drugim uređajima posle resetovanja lozinke

Twitter je odjavio neke korisnike nakon što je rešio grešku zbog koje su neki Twitter nalozi ostali prijavljeni na nekim mobilnim uređajima nakon ... Dalje

Zakonodavci vrše pritisak na Zakerberga zbog kripto prevara na Instagramu, Facebooku i WhatsAppu

Zakonodavci vrše pritisak na Zakerberga zbog kripto prevara na Instagramu, Facebooku i WhatsAppu

Zbog svoje veličine i dosega, mnoge platforme u vlasništvu Mete kao što su Facebook, Instagram i WhatsApp često koriste prevaranti. Priroda ovih p... Dalje

Bivši šef bezbednosti Twittera svedočio pred Kongresom: Twitter obmanjuje javnost o bezbednosti platforme

Bivši šef bezbednosti Twittera svedočio pred Kongresom: Twitter obmanjuje javnost o bezbednosti platforme

Bivši direktor bezbednosti Twittera, Piter Zatko, rekao je američkim zakonodavcima da kompanija „obmanjuje javnost” o tome koliko je pla... Dalje

Bivši šef bezbednosti Twittera tvrdi da je kompanija lagala o botovima i bezbednosti platforme, Kongres najavio istragu

Bivši šef bezbednosti Twittera tvrdi da je kompanija lagala o botovima i bezbednosti platforme, Kongres najavio istragu

Američki Kongres istražuje tvrdnje koje je izneo Peiter „Madž“ Zatko, koji je otpušten sa mesta šefa sektora za bezbednost Twittera. ... Dalje

Aplikacije Facebook i Instagram prate korisnike čak i kada im izričito kažu da to ne rade

Aplikacije Facebook i Instagram prate korisnike čak i kada im izričito kažu da to ne rade

Kada posetite veb sajt koji ste videli na Facebooku i Instagramu, verovatno ste primetili da niste preusmereni na pretraživač po vašem izboru, vec... Dalje