Desenvolvedor ganha US$ 5 mil por descobrir falha de segurança no Facebook

O pesquisador de segurança AMol NAik descobriu uma falha de segurança no site do Facebook. A falha de cross-site request forgery (CSRF) permite que uma pessoa mal intencionada execute ações como um usuário logado e acesse URLs específicas. O pesquisador recebeu US$ 5 mil pela descoberta responsável, já que a reportou à rede social antes de públicá-la.

Depois de o Facebook ter lançado a funcionalidade App Center, AMol NAik descobriu que tokens anti-CSRF em requisições HTTP aparentemente não eram validadas no lado do servidor e que um criminoso poderia adicionar aplicativos na plataforma como outro usuário. Para executar o ataque, a pessoa só precisaria que a vítima visitasse um site especialmente construído e, depois disso, apps maliciosos poderiam ser instalados no App Center.

Medidas anti-CSRF como as empregadas pelo Facebook deveriam evitar esse tipo de ataque gerando um token com cada sessão válida que precisa ser enviada para o cliente com cada requisição. Scripts em outros sites não têm acesso a esse token, portanto não podem gerar requisições válidas. No caso do Facebook, as páginas do App Center não checavam a validade do token, o que permitia que qualquer pessoa enviasse requisições falsas e conseguisse que elas fossem aceitas. A equipe de segurança do Facebook corrigiu o problema em um dia, depois ter sido contatada por AMol NAik.

Com informações de The H