Facebook-bug kunne bruges til hacking
En tysk systemudvikler, Artur Wachelka, siger, at han har opdget en bug i FaceBooks brugerflade: Gennem denne bug skulle man kunne indhente cookies på brugernes computer, og ved hjælp af dem skulle man kunne få adgang til pågældende brugers konto.
Ifølge Artur Wachelka er det en meget alvorlig bug, som han opdagede ved et tilfælde, idet han var i gang med at arbejde på et skakspil på Facebook.
Bugget befinder sig på Facebook FBML, som er den udviklingsplatform, som Facebook sætter til rådighed for brugerne, så de kan udvikle applicationer og nye funktioner.
Ifølge Artur Wachelka er det nok at afvikle et bestemt JavaScript i brugerens browser for at få adgang til vedkommendes cookies, eller starte en popup på brugerens computer.
Naturligvis, og med mere ondsindet kode, kunne man ændre indstillingernes til vedkommendes konto eller slette venner, m.m.
Dog siger Artur Wachelka, at buggen ser ud til kun at være aktiv på de konti, som er opdaterede af brugerne for nyligt.
Den tyske systemudvikler fortæller, at han har kontaktet Facebooks supportteam for at fortælle dem om buggen og ved at give dem en demonstrationskode (proof-of-concept code, som det så fint hedder), som beviser dette.
Men supporteamet har ikke taget Wachelkas advarsler alvorligt og forsikrer, at FBML-platformen blev skrevet således, så man ikke kan eksekvere Javascript.
Derfor har Wachelka valgt at offentliggøre informationen.
Facebook fortaler igen i dag, at problemet er “under analyse”.
Den er, til dato, ikke rettet.
Facebook renser ikke tredjepartsprogrammers indhold, hvilket har ført til flere sikkerhedshuller og spændende sager i de seneste år.
I maj i år blev det ramt af et Cross Site Scriptings-hul (XSS) og et sikkerhedshul, som offentliggjorde alle Paris Hiltons private billeder (samt mange andre brugeres).
Flere sikkerhedsforskere har fornyligt fortalt, at en orm angriber Facebook og andre netværkssider.
(2 votes, average: 5 out of 5)
Loading ...
August 27th, 2008 at 21:31
Der er ingen tvivl om at Facebooks succes vil mindskes voldsomt hvis ikke de ændrer politik med hensyn til validering af tredieparts kode. Med så mange sløsede fjolser rundt omkring internettet så kunne det hurtigt ende dårligt, hvis ikke de gør noget ved det.
Tak for informationen. Det er nok en god idé at bruge flere netværk så man ikke pludselig står i en blindgyde hvis projektet mister sin “autoritet” og troværdighed.
Tak for en god blog.