Facebook ha solucionado una vulnerabilidad que podría permitir a alguien enviar a otra persona un archivo malicioso
Facebook parece haber corregido una vulnerabilidad en su sitio de redes sociales, después de insistir en que no era una debilidad y no era necesario subsanarla.
Nathan Power, que trabaja para la consultora de tecnología CDW, actualizó su blog el martes para reflejar que la falla se había corregido. El problema permitía a un usuario enviar a otro usuario un archivo adjunto ejecutable mediante el uso de la característica de mensajes de Facebook.
El remitente y el destinatario no tenían que ser amigos confirmados. Power, que notificó a Facebook el 30 de septiembre, encontró que Facebook analiza parte de una petición POST al servidor para ver si el archivo que se envía debe ser permitido. Por lo general, los archivos ejecutables son rechazados.
Pero Power encontró que si se modifica la petición POST con un espacio adicional después del nombre del archivo adjunto, lo dejaba pasar. Si la víctima acepta el archivo, aun sería necesario que lo ejecutara a fin de que el software malicioso se instalara.
El peligro es que Facebook puede ser utilizado para phishing, o para ataques dirigidos con la intención de cargar software malicioso en la máquina de la víctima. El estilo de ataque ha tenido éxito contra compañías como RSA, donde se filtró la información relacionada con su autenticación SecurID, un tema que se dió a conocer en marzo.
Por lo menos un contratista de defensa fue atacado posterior al caso de la RSA.
El Gerente de seguridad de Facebook, Ryan McGeehan, dijo en un comunicado la semana pasada que un ataque exitoso utilizando la vulnerabilidad requiere de ingeniería social y no sólo de permitir que el atacante envía un archivo ofuscado a otro usuario de Facebook
No hay comentarios:
Publicar un comentario