Facebook Messenger: un bug mette a rischio le chat degli utenti
Scoperta una vulnerabilità nel sistema di messaggistica Facebook che metteva in pericolo la privacy di circa un miliardo di persone. Problema prontamente risolto
Ysrael Gurt, un esperto di sicurezza presso BugSec e Cynet, ha scoperto una vulnerabilità critica in Facebook Messenger che consentiva a un malintenzionato di leggere le conversazioni private degli utenti, incluse le foto e gli allegati inviati.
Questo bug, soprannominato "Originull", sfrutta il fatto che le chat di Facebook non vengono gestite direttamente sui server del social network ma su un sistema separato – chiamato [numero]-edge-chat.facebook.com – sia per la versione web sia per quella mobile: il rischio era, insomma, totale. E per sfruttare questa vulnerabilità bastava ingannare la vittima di turno – tramite un link ricevuto via mail o l’invito su un sito di phishing – che li dirottava su un sito malevolo per infettarli con un malware sviluppato ad hoc. La falla, per fortuna, è stata prontamente risolta da Facebook.
Facebook ha riconosciuto e risolto il bug
A questo punto veniva eseguito un attacco denominato cross-origin bypass-attack contro l’applicazione di messaggistica di Facebook e il cyber delinquente era in grado di visualizzare e accedere ai messaggi, alle foto e agli allegati inviati tramite Messenger dalle vittime infettate dal malware. Chi è interessato a qualche dettaglio tecnico in più è lo stesso Ysrael Gurt a spiegarlo. La comunicazione tra il JavaScript e il server viene effettuata tramite una richiesta HTTP XML (XHR). Facebook, per poter accedere ai dati che arrivano dal server della chat in JavaScript, deve aggiungere il cosiddetto header Access-Control-Allow-Credentials con l’intestazione dell’origine del chiamante e il valore "true" (vero) in modo che le informazioni siano accessibili anche quando sono già stati inviati i cookie. Ysrael Gurt ha scoperto questa grave vulnerabilità di Facebook tramite un programma di sua creazione e il team di sicurezza di Facebook – riconosciuto subito la gravità di questa vulnerabilità – l’ha prontamente risolta.
Il video in apertura è tratto da YouTube
Alcuni video presenti in questa sezione sono stati presi da internet, quindi valutati di pubblico dominio. Se i soggetti presenti in questi video o gli autori avessero qualcosa in contrario alla pubblicazione, basterà fare richiesta di rimozione inviando una mail a: team_verticali@italiaonline.it. Provvederemo alla cancellazione del video nel minor tempo possibile.
