Kalendář
  • 14.5.2019NoName Con
  • 17.5.2019Devopsdays Kyiv
  • 4.7.2019In4Sec Cruise
  • 26.10.201914th Cyber Security Conference UISGCON14
AEC v1.0.4

Kyber bezpecnost
@Kyberbezpecnost.cz

Kompromitace 50 milionů uživatelů Facebooku

1. 10. 2018

Facebook oznámil, že se padesát milionů jeho uživatelů stalo obětí útoku. Byly přitom zneužity zero-day zranitelnosti funkce view-as, tedy možnosti podívat se na svůj profil očima jiného uživatele. Přitom bylo možné získat jeho přístupový token k Facebooku. útočník tak mohl bez znalosti hesla a snadno ovládnout jakákoli účet na Facebooku. Zranitelnost vznikla v červenci 2017 spolu se zavedením nové funkce pro upload videí. Zranitelnosti způsobily zobrazení video uploaderu na cizích stránkách při použití funkce view-as a jeho prostřednictvím vytvoření tokenu ne pro aktuálního uživatele, ale pro toho, jehož „očima“ byl zobrazen daný profil. Podle Facebooku tak neznámý útočník získal přístup k autentizačním tokenům padesáti milionů uživatelů. Facebook pro jistotu zrušil přihlášení i dalších čtyřiceti milionů uživatelů, kteří mohli být zasaženi. Plný přístup k Facebook účtu ze strany útočníka ale mohl znamenat i kompromitaci všech propojených služeb, ke kterým se uživatel přihlašuje prostřednictvím svého Facebook účtu.

Share Button

Komentáře