Το “χρυσό” κενό ασφαλείας που εξασφάλισε $12.500.

Ένας ερευνητής ασφαλείας ανακάλυψε ότι ο καθένας μπορεί να διαγράψει τις φωτογραφίες από το album κάποιου χρήστη στο Facebook με 4-5 γραμμές κώδικα, χωρίς καν να έχει πρόσβαση σε αυτές. Ο Laxman Muthiyah βρήκε το κενό στο Graph API του Facebook, το οποίο κανονικά απαιτεί συγκεκριμένη άδεια (token) για να “πειράξεις” τα δεδομένα κάποιου. Τελικά, με τον παρακάτω κώδικα κατάφερε να ξεγελάσει το σύστημα χρησιμοποιώντας το δικό του token και είχε τη δυνατότητα να σβήσει τις φωτογραφίες οποιουδήποτε άλλου χρήστη.

Request :-
DELETE /(Victim’s_photo_album_id) HTTP/1.1
Host : graph.facebook.com
Content-Length: 245
access_token=(Your(Attacker)_Facebook_for_Android_Access_Token)

Ο Muthiyah ενημέρωσε άμεσα τη Facebook για το κενό ασφαλείας και η εταιρεία των αποζημίωσε με $12.500, ενώ έχει ήδη κλείσει την “τρύπα”.