O pesquisador de segurança, com o pseudônimo "Samm0uda", relatou em 26 de janeiro ao Facebook a descoberta de uma vulnerabilidade que permitia a um invasor sequestrar a conta de um usuário simplesmente fazendo com que a vítima clicasse em um link.
De acordo com análise da ESET, empresa líder em detecção proativa de ameaças, trata-se de uma vulnerabilidade conhecida como falsificação de solicitação entre sites (CSRF). Esse tipo de brecha força o navegador da vítima a executar comandos não autorizados através em uma aplicação web na qual não está autenticada. Nesse caso, o pesquisador descobriu a falha após identificar um endpoint defeituoso que poderia ser explorado para evitar a proteção contra-ataques de CSRF e assumir o controle da conta da vítima.
Conforme o pesquisador destacou em seu blog, "para que esse ataque seja eficaz, o invasor precisa enganar a vítima para que clique em um link". Como exemplo, entre as possíveis consequências da falha estão: possibilidade de fazer uma publicação na linha do tempo da vítima, excluir a foto do perfil ou levar o usuário à eliminação da sua conta; apesar de para esta última ou para tomar o controle total da conta sejam necessários esforços adicionais.
Embora, em princípio, isso exigisse que a vítima clicasse em dois links diferentes, a fim de adicionar o endereço de email ou número de telefone e confirmá-lo em outro, o pesquisador mostrou que era possível assumir o controle da conta com apenas uma URL ao identificar os endpoints nos quais o parâmetro "next" esteja presente e autorizando a um aplicativo malicioso em nome do usuário para obter os tokens de acesso do Facebook da vítima.
Com o acesso aos tokens de autenticação do usuário, o exploit adiciona automaticamente um endereço de email controlado pelo invasor à sua conta, permitindo assumir o controle total simplesmente ao redefinir a senha e bloquear o usuário legítimo, explicou o portal TheHackerNews.
Assim como o pesquisador de segurança explicou em seu blog, o ataque é feito em um piscar de olhos e é perigoso porque não aponta para um usuário em particular, mas para qualquer um que clique no primeiro link.
Além disso, o sequestro de uma conta por um ataque semelhante a esse pode ser evitado caso o usuário conte com a autenticação de dois fatores, a menos que o invasor tenha acesso ao código que é enviado para o telefone do usuário como parte do processo de autenticação.
"Samm0uda" reportou o bug no passado dia 26 de janeiro e no dia 31 o Facebook realizou a correção. Dias depois, e como parte de seu programa de bug bounty, a empresa pagou US$ 25 mil ao pesquisador por reportar a falha.
