Уязвимости в Facebook позволяли злоумышленникам удалять комментарии пользователей

Брешь была обнаружена 19-летним исследователем из Ливана Джо Балхисом (Joe Balhis). Ему удалось проэксплуатировать уязвимость проверки сессии и осуществить CSRF-атаку на Facebook, в результате чего он смог удалить произвольные комментарии.

Для того чтобы осуществить атаку, злоумышленнику достаточно заменить значения параметров comment_id и legacy_id в запросе. Вначале хакер должен написать произвольный комментарий на Facebook, попытаться его удалить и перехватить запрос к серверу. После этого злоумышленник ставит отметку "Мне нравится" к комментарию, который он хочет удалить, и перехватывает запрос. Из него он узнает значения параметров comment_id и legacy_id, связанные с целевым комментарием.

В конце концов злоумышленник отправляет на Facebook запрос на удаление комментария с подмененными параметрами legacy_id и comment_id. Как результат, хакер удаляет комментарий, принадлежащий другому пользователю. Злоумышленники могли создать скрипт, эксплуатирующий уязвимости в автоматическом режиме.

Уязвимость была исправлена еще в 2014 году, но исследователь в целях безопасности не разглашал ее детали до сегодняшнего дня. За обнаруженную брешь Facebook выплатила Балхису $12,5 тысяч.

Эксперт отметил, что злоумышленнику не требовался доступ к учетной записи жертвы для удаления ее комментариев. Брешь затрагивала даже пользователей, установивших высокий уровень конфиденциальности страницы.