Một lỗ hổng Facebook nghiêm trọng mới được báo cáo, lỗ hổng này cho phép bất kỳ ai cũng có thể xóa toàn bộ Album ảnh của bạn mà không cần chứng thực.
Nhà nghiên cứu bảo mật Laxman Muthiyah cho biết rằng lỗ hổng Facebook thực sự nằm ở cơ chế hoạt động của Facebook Graph API – cho phép “một hacker xóa bất kỳ album ảnh nào trên Facebook. Bất kỳ album ảnh sở hữu bởi một người dùng, một trang hoặc một nhóm đều có thể bị xóa”.
XÓA ALBUM ẢNH FACEBOOK
Theo tài liệu hướng dẫn của Facebook dành cho nhà phát triển thì chúng ta không thể dùng Graph API để xóa các Album, tuy nhiên nhà nghiên cứu bảo mật từ Ấn Độ đã tìm ra một cách không chỉ xóa Album của riêng ông mà còn của những người dùng Facebook khác chỉ trong vài giây.
“Tôi quyết định thử khai thác hỗ hổng Facebook bằng thẻ truy cập di động (mobile access token), vì chúng ta có thể thấy tùy chọn xóa tất cả album ảnh trong ứng dụng di động Facebook đúng không? Vâng và cách sử dụng cũng tương tự Graph API.” – ông nói.
Nói chung, Facebook Graph API yêu cầu một thẻ truy cập để đọc hoặc ghi dữ liệu người dùng – nó hạn chế truy cập tới một ứng dụng duy nhất. Tuy nhiên, Laxmax đã phát hiện ra rằng “thẻ truy cập” đã được tạo ra của ông cho phiên bản di động của Facebook có thể được khai thác để loại bỏ bất kỳ Album ảnh được đăng bởi bất kỳ ai trên Facebook. Để xóa một Album ảnh từ tài khoản Facebook của nạn nhân, kẻ tấn công chỉ cần gửi một truy vấn HTTP tới Graph API với tham số là ID Album ảnh của nạn nhân và thẻ truy cập của chính kẻ tấn công đã được tạo ra bởi ứng dụng “Facebook cho Android”.
MẪU TRUY VẤN
Request :- DELETE /<Victim’s_photo_album_id> HTTP/1.1 Host : graph.facebook.com Content-Length: 245 access_token=<Your(Attacker)_Facebook_for_Android_Access_Token>
VIDEO KHAI THÁC MÔ PHỎNG
Chương trình Bug Bounty của Facebook đã trao thưởng cho ông $12,500 USD vì giúp nhóm Bảo Mật Facebook vá lỗ hổng facebook nghiêm trọng này.
THN
