Chat Facebook Messenger: Un bug consente di leggerle

Chat Facebook Messenger: Un ricercatore di sicurezza ha scoperto una vulnerabilità critica in Facebook Messenger che potrebbe consentire a un utente malintenzionato di leggere tutte le conversazioni private che vi intercorrono, questa vulnerabilità se attuata colpirebbe la privacy di circa 1 miliardo di utenti.

Ysrael Gurt, il ricercatore di sicurezza della BugSec e della Cynet, ha riportato un attacco cross-origine-bypass contro Facebook Messenger, che consente a un aggressore di accedere ai messaggi privati, foto e allegati inviati sulla chat di Facebook.

Indice

Chat private Facebook

Per sfruttare questa vulnerabilità, tutto ciò che deve fare l’attaccante è quello di ingannare la vittima portandola a visitare un sito web malevolo; Tutto qui. Dal momento che la vittima clicca sul link al sito web fake, tutte le conversazioni private da parte della vittima, (sia da app mobile sia da browser web), saranno accessibili da parte dell’attaccante, in quanto il bug interessa sia la chat web che l’App.

Questa nuova vulnerabilità scoperta, soprannominata “Originull”, risiede proprio nel fatto che Facebook chat è gestito da un server situato in {numero} -edge-chat.facebook.com, che è separato dal dominio effettivo di Facebook (www.facebook.com).

“La comunicazione tra il JavaScript e il server avviene tramite una richiesta in HTTP XML (XHR). Al fine di accedere ai dati che giungono da 5-edge-chat.facebook.com in JavaScript, Facebook deve unire “ Access-Control-Allow-Origin”, intestazione con l’origine del chiamante, a “Access-Control-Allow-Credentials” intestazione con valore “true” (positivo), in modo che i dati siano accessibili anche quando i cookie vengono inviati“, ha spiegato Gurt.

Alla radice del problema vi è una mal configurazione dell’intestazione cross-origin sul dominio/server della chat di Facebook, che permette ad un utente malintenzionato di bypassare i controlli di origine e di accedere ai messaggi di Facebook da un sito esterno.

Gurt ha anche rilasciato un video dimostrativo proof-of-concept della vulnerabilità Originull, che mostra un cross-origin bypass-attack in azione.

Tuttavia, le conversazioni segrete di Facebook Messenger, funzione che cripta i messaggi in end-to-end, non viene influenzata da questo bug in quanto può essere avviata o lanciata solo tramite la sua app mobile.

Note

Per usufruire del servizio di “conversazione segreta” accedere all’app facebook messanger, selezionare il contatto con cui si vuole chattare, cliccare sulla i in alto a destra nella schermata, selezionare la voce conversazione segreta (vedi screen del procedimento di seguito).

E’ anche possibile impostare una sorta di autodistruzione delle chat, infatti i messaggi saranno visibili solo per un tot di tempo, settabile, dopo essere stati letti.

“Questo poteva essere un problema estremamente grave, non solo per l’elevato numero di utenti interessati, ma anche per la difficoltà che si sarebbe riscontrata nel tentativo di liberarsi della minaccia in quanto anche se la vittima avesse utilizzato un altro computer o apparecchio mobile sarebbe rimasto comunque completamente vulnerabile.”

Il ricercatore ha rivelato la grave vulnerabilità di Facebook attraverso il suo programma Bug Bounty.
Il team di sicurezza di Facebook ha riconosciuto il problema e patchato il componente vulnerabile.