Новая уязвимость в Facebook приводит к утечке персональных данных пользователей

yhlybnyh1w1310j751_dz5oymgy.png

Изображение: Pexels

Исследователи информационной безопасности обнаружили уязвимость в социальной сети Facebook — эта ошибка могла приводить к утечкам конфиденциальной информации о пользователях и их друзьях. Ошибка обнаружена в функции поиска соцсети.

В чем проблема


По словам исследователя Рона Масаса из компании Imperva, страница, на которой отображаются результаты поиска, включает в себя связанные с результатами поиска элементы iFrame. Конечные URL этих iFrame никак не защищены от атак межсайтовой подделки запроса cross-site request forgery, CSRF).

Для эксплуатации уязвимости, атакующему нужно обманом убедить пользователей посетить специальный сайт. Важно, чтобы при этом пользователь был залогинен в свой профиль в Facebook. При любом клике на веб-странице в фоновом режиме будет исполнен JavaScript-код. Этот код открывает новую вкладку с URL Facebook, в которой выполняется заранее определенный запрос с целью получения нужной злоумышленнику информации.

Данную атаку можно использовать как для поиска информации вида «фото из отпуске», так и для извлечения более чувствительных данных, включая:

  • наличие у пользователя друзей с определенным именем или ключевым словом в названии профиля;
  • каким страницам ставил лайки пользователь, и в каких группах он состоит;
  • есть ли у него друзья, подписанные на определенную страницу;
  • наличие фото из определенных локаций или стран;
  • публиковал ли пользователь записи, содержащие определенные ключевые слова;
  • есть ли у него друзья определенного вероисповедания;
  • и т.д.


Таким образом, уязвимость раскрывает чувствительные данные пользователей даже в том случае, если они установили настройки приватности, запрещающие демонстрацию такой информации посторонним.

Процесс может быть многократно повторен без необходимости открытия новых вкладок. В итоге данная атака представляет наибольшую опасность для мобильных пользователей — им труднее отследить открытие новых вкладок.

Как защититься


Исследователи обратились в Facebook, и компания уже устранила уязвимость. Инженеры соцсети добавили защиту от CSRF-атак.

Когда разработка ставится на поток из-за высокого спроса на услуги и продукты, все больше разработчиков внедряют процессы непрерывной интеграции и поставки (CI/CD). Неотъемлемая часть CI/CD — обеспечение безопасности разрабатываемого ПО. Особенно важно точно и без отрыва от производства выявлять и устранять уязвимости. Однако на практике не все так просто.

Многие ошибочно считают, что анализа качества кода достаточно для проверки ПО, в том числе на риски безопасности. А те, кто понимает, что это не так, и прибегает к инструментам анализа защищенности, сталкиваются с проблемой верификации уязвимостей. Она, как правило, выполняется вручную, а с учетом того, что число уязвимостей может достигать сотен и тысяч, эффективность процесса CI/CD и целесообразность его поддержки оказываются под большим вопросом.

В четверг, 22 ноября в 14:00, эксперт отдела систем защиты приложений Positive Technologies Алексей Жуков проведет бесплатный вебинар. В его ходе вы узнаете, как добиться того, чтобы в условиях непрерывных процессов, больших объемов и горящих дедлайнов дефекты безопасности не остались незамеченными, а их верификация не стала бутылочным горлышком. Алексей расскажет о том, как грамотно автоматизировать процесс обеспечения безопасности ПО и повысить эффективность выполнения основных задач. Вебинар будет полезен для разработчиков и специалистов DevOps.

Для участия в вебинаре нужно зарегистрироваться.

© Habrahabr.ru