Facebook, scoperta una nuova vulnerabilità

Una nuova vulnerabilità è stata individuata all’interno del sistema di messaggistica privata di Facebook: ad effettuare la scoperta è stato il ricercatore in ambito di sicurezza informatica Nathan Power, il quale sul proprio blog ha spiegato in che modo sia possibile utilizzare tale falla per inviare file eseguibili potenzialmente dannosi ad utenti non appartenenti al proprio elenco di amici.

Facebook permette infatti di inviare messaggi privati anche ad utenti ai quali non è mai stata richiesta l’amicizia, senza tuttavia poter allegare file eseguibili: un sistema di scansione effettua infatti un’analisi della richiesta POST effettuata al momento dell’invio e nel caso in cui individui un file con estensione .exe blocca la spedizione del messaggio. Un semplice workaround è sufficiente però per aggirare il sistema: secondo Power, infatti, è sufficiente aggiungere un semplice spazio in più nel nome del file per rendere vani i tentativi di rilevazione della minaccia da parte dei server di Palo Alto.

In questo modo, spiega il ricercatore, è possibile infettare potenzialmente i computer di tutti gli iscritti al social network, inviando loro ad esempio un malware oppure un keylogger in grado di estrapolare informazioni di assoluto valore quali le credenziali di login dell’utente stesso. Un problema, questo, segnalato allo staff di Facebook già da diverse settimane e solamente ora giunto agli occhi degli addetti ai lavori del social network più famoso al mondo.

Gli stessi hanno dunque analizzato la vicenda e, in una nota ufficiale, hanno evidenziato come in realtà si tratti esclusivamente di un proof of concept finora mai realizzato nella pratica, in quanto necessita di un ulteriore passo in avanti in termini di social engineering: per far sì che il file venga aperto, infatti, è necessario convincere il destinatario che lo stesso non sia una minaccia. Tale procedura, inoltre, permetterebbe di infettare un solo utente alla volta ed il tutto dovrebbe prima aggirare il sistema di scansione antivirus allestito dal social network.