Otkriven bezbednosni propust Facebooka koji je mogao otkriti lične podatke vas i vaših prijatelja

Društvene mreže, 14.11.2018, 10:30 AM

Otkriven bezbednosni propust Facebooka koji je mogao otkriti lične podatke vas i vaših prijatelja

Istraživači kompanije Imperva otkrili su bezbednosni propust u Facebooku koja je mogao omogućiti napadačima da dođu do određenih ličnih podataka korisnika i njihovih prijatelja, što bi ugrozilo privatnost korisnika najpopularnije društvene mreže u svetu.

Propust je u načinu na koji Facebookova funkcija pretraživanja prikazuje rezultate za upisane upite.

Prema rečima istraživača Imperve Rona Masasa, stranica koja prikazuje rezultate pretrage uključuje iFrame elemente koji su povezani sa svakim rezultatom, pri čemu URL adrese tih iFrameova nemaju nijedan mehanizam za zaštitu od cross-site request forgery napada (CSRF).

Treba napomenuti da je novootkriveni bezbednosni propust već ispravljen, pre nego što je neko mogao da odjednom izvuče informacije sa velikog broja naloga.

Da bi iskoristili ovu ranjivost, napadači moraju prevariti korisnike da posete zlonamerni sajt u svom pretraživaču gde su već prijavljeni na svoje Facebook naloge.

Zlonamerni sajt sadrži javascript kod koji će se izvršiti u pozadini čim žrtva klikne bilo gde na toj stranici.

"Da bi ovaj napad funkcionisao moramo prevariti korisnika Facebooka da otvori naš zlonamerni web sajt i klikne bilo gde na sajtu (to može biti bilo sajt na kome možemo da pokrenemo JavaScript), što nam omogućava da otvorimo iskačući prozor ili novu karticu (u browseru) na Facebookovoj stranicu za pretragu, primoravajući korisnika da izvrši bilo koji upit koji želimo", objasnio je Masas na blogu kompanije.

JavaScript kod otvara novu karticu ili prozor sa Facebookovim URL-om koji pokreće određene unapred definisane pretrage i izvlači ciljane informacije.

Pretraživanje nečega na Facebooku izgleda manje korisno za napadače, pogotovo kada je rezultat samo da ili ne. "Napad ustvari otkriva broj rezultata pretrage za bilo koji upit za pretragu na trenutno prijavljenom Facebook nalogu”, kaže Masas.

Ali ako se ispravno koristi, Facebookova funkcija pretraživanja bi mogla biti iskorišćena za izvlačenje osetljivih informacija vezanih za vaš Facebook nalog, kao što je provera:

Da li imate prijatelja sa određenim imenom ili ključnom reči u njegovom/njenom imenu

Da li vam se sviđa određena stranica ili ste član određene grupe

Da li imate prijatelje kojima se sviđa određena stranica

Da li ste snimili fotografije na određenom mestu ili u nekoj zemlji

Da li ste ikada objavili fotografiju napravljenu na određenim mestima ili zemljama

Da li ste ikada objavili ažuriranje na vremenskoj liniji koje sadrži određeni tekst ili ključnu reč

Da li imate prijatelje određene veroispovesti itd.

Ukratko, ova ranjivost je mogla otkriti interesovanja i aktivnosti ciljanih korisnika i njihovih prijatelja čak i ako su njihova podešavanja privatnosti bila takva da ove informacije mogu biti vidljive samo njima ili njihovim prijateljima.

Imperva je još maja ove godine odgovorno prijavila bag Facebooku preko Facebookovog programa za otkrivanje propusta, a Facebook je rešio problem dodajući CSRF zaštite.

Pre tri meseca, isti istraživač je otkrio bezbednosni propust u Chromeu koji je mogao omogućiti napadačima da otkriju sve šta platforme, poput Facebooka i Googlea, znaju o vama. On je tada objavio i dokaz o izvodljivosti ovog napada (PoC, proof od concept kod).


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Otkriven bag u Facebook Chat dodatku za WordPress sajtove

Otkriven bag u Facebook Chat dodatku za WordPress sajtove

U zvaničnom Facebookovom dodatku za čet za WordPress sajtove, koji ima više od 80000 instalacija, otkriven je bag koji bi mogao omogućiti napada... Dalje

Twitter najavio da bi mogao biti kažnjen sa 250 miliona dolara zbog zloupotrebe podataka korisnika

Twitter najavio da bi mogao biti kažnjen sa 250 miliona dolara zbog zloupotrebe podataka korisnika

Twitter je najavio da će ga Federalna komisija za trgovinu (FTC) možda uskoro kazniti novčanam kaznom u iznosu do 250 miliona dolara zbog neadekva... Dalje

Twitter objasnio kako je izveden napad na naloge poznatih ličnosti i kompanija

Twitter objasnio kako je izveden napad na naloge poznatih ličnosti i kompanija

U nizu tvitova objavljenih noćas, Twitter je podelio svoja saznanja o dosad neviđenom napadu koji se dogodio 15. jula a koji je omogućio hakerima ... Dalje

Reč stručnjaka: Zašto bi trebalo da prestanete da koristite Facebook Messenger

Reč stručnjaka: Zašto bi trebalo da prestanete da koristite Facebook Messenger

Facebook je prošle nedelje ponosno predstavio novu bezbednosnu funkciju za Messenger koja omogućava korisnicima da otključavaju svoje poruke skeni... Dalje

Kinez špijunirao američku vladu i vojsku pomoću društvene mreže

Kinez špijunirao američku vladu i vojsku pomoću društvene mreže

Čovek koji je priznao da je agent kineske vlade koristio je LinkedInov algoritam da bi pronašao nove kontakte u američkoj vladi i vojsci. On je u s... Dalje