Новая уязвимость в Facebook приводит к утечке персональных данных пользователей

Исследователи информационной безопасности обнаружили уязвимость в социальной сети Facebook – эта ошибка могла приводить к утечкам конфиденциальной информации о пользователях и их друзьях. Ошибка обнаружена в функции поиска соцсети.

В чем проблема

По словам исследователя Рона Масаса из компании Imperva, страница, на которой отображаются результаты поиска, включает в себя связанные с результатами поиска элементы iFrame. Конечные URL этих iFrame никак не защищены от атак межсайтовой подделки запроса cross-site request forgery, CSRF).

Для эксплуатации уязвимости, атакующему нужно обманом убедить пользователей посетить специальный сайт. Важно, чтобы при этом пользователь был залогинен в свой профиль в Facebook. При любом клике на веб-странице в фоновом режиме будет исполнен JavaScript-код. Этот код открывает новую вкладку с URL Facebook, в которой выполняется заранее определенный запрос с целью получения нужной злоумышленнику информации.

Данную атаку можно использовать как для поиска информации вида «фото из отпуске», так и для извлечения более чувствительных данных, включая:

  • наличие у пользователя друзей с определенным именем или ключевым словом в названии профиля;
  • каким страницам ставил лайки пользователь, и в каких группах он состоит;
  • есть ли у него друзья, подписанные на определенную страницу;
  • наличие фото из определенных локаций или стран;
  • публиковал ли пользователь записи, содержащие определенные ключевые слова;
  • есть ли у него друзья определенного вероисповедания;
  • и т.д.

Таким образом, уязвимость раскрывает чувствительные данные пользователей даже в том случае, если они установили настройки приватности, запрещающие демонстрацию такой информации посторонним.

Процесс может быть многократно повторен без необходимости открытия новых вкладок. В итоге данная атака представляет наибольшую опасность для мобильных пользователей – им труднее отследить открытие новых вкладок.

Как защититься

Исследователи обратились в Facebook, и компания уже устранила уязвимость. Инженеры соцсети добавили защиту от CSRF-атак.

Когда разработка ставится на поток из-за высокого спроса на услуги и продукты, все больше разработчиков внедряют процессы непрерывной интеграции и поставки (CI/CD). Неотъемлемая часть CI/CD — обеспечение безопасности разрабатываемого ПО. Особенно важно точно и без отрыва от производства выявлять и устранять уязвимости. Однако на практике не все так просто.

Многие ошибочно считают, что анализа качества кода достаточно для проверки ПО, в том числе на риски безопасности. А те, кто понимает, что это не так, и прибегает к инструментам анализа защищенности, сталкиваются с проблемой верификации уязвимостей. Она, как правило, выполняется вручную, а с учетом того, что число уязвимостей может достигать сотен и тысяч, эффективность процесса CI/CD и целесообразность его поддержки оказываются под большим вопросом.

Этот сайт использует Akismet для борьбы со спамом. Узнайте как обрабатываются ваши данные комментариев.