शोधकर्ता फेसबुक के लिए वर्म वर्किंग कोड उदाहरण प्रकाशित करता है

एक समूह पहले से ही उपयोगकर्ताओं की दीवारों पर स्पैम पोस्ट करके इस मुद्दे का दुरुपयोग कर रहा है

दिसंबर के अंत में, एक पोलिश सुरक्षा शोधकर्ता ने विवरण प्रकाशित किया और एक कामकाजी कोड का एक उदाहरण जो फेसबुक के लिए सभी आवश्यक सुविधाओं के साथ एक कीड़ा बनाने के लिए इस्तेमाल किया जा सकता है।

यह कोड फेसबुक प्लेटफ़ॉर्म की भेद्यता का शोषण करता है, जिसे इंटरनेट पर लासक उपनाम का उपयोग करके एक पोलिश शोधकर्ता द्वारा स्पैमर्स के एक समूह द्वारा दुरुपयोग किया गया था। अन्य उपयोगकर्ताओं के साथ जानकारी साझा करने के लिए पॉप-अप संवाद की पेशकश के मोबाइल संस्करण में भेद्यता छिपी हुई है। डेस्कटॉप पर ऐसी कोई भेद्यता नहीं है।

लसक का कहना है कि "शेयर" संवाद के मोबाइल संस्करण में एक क्लिकजैकिंग भेद्यता मौजूद है, जिसका उपयोग हमलावर आइफ्रेम के माध्यम से करता है। स्पैमर्स का एक समूह, जिसने स्पष्ट रूप से इस भेद्यता की खोज की थी, इससे पहले कि लसक फेसबुक उपयोगकर्ताओं के लिए लिंक पोस्ट करने के लिए इसका उपयोग करता है।

जैसा कि लसक ने समझाया :

कल, फेसबुक पर एक बहुत कष्टप्रद स्पैम अभियान हुआ, जिसके दौरान मेरे कई दोस्तों ने एक लिंक पोस्ट किया जिसने AWS पर होस्ट की गई एक साइट खोली। यह कॉमेडी कॉमिक्स के साथ किसी प्रकार की फ्रेंच साइट थी - तो इस लिंक पर कौन क्लिक नहीं करेगा?
और लिंक पर क्लिक करने के बाद, AWS पर होस्ट की गई साइट दिखाई दी। उन्होंने आपसे इस बात की पुष्टि करने के लिए कहा कि सामग्री तक पहुँचने के लिए आपकी आयु 16 वर्ष (फ्रेंच में) से अधिक है। बटन पर क्लिक करने के बाद, आपको वास्तव में एक कॉमिक बुक और विज्ञापनों के एक समूह के साथ एक पृष्ठ पर पुनः निर्देशित किया गया था। लेकिन उसी समय, आपने जिस लिंक पर क्लिक किया, वह आपकी फेसबुक वॉल पर दिखाई दिया।

शोधकर्ता ने कहा कि उन्हें समस्या की तह तक जाना है, और यह है कि फेसबुक मोबाइल संस्करण में "शेयर" संवाद में एक्स-फ्रेम-विकल्प हेडर को अनदेखा करता है। वेब उद्योग द्वारा अनुमोदित MDN प्रलेखन के अनुसार , इस हेडर का उपयोग साइटों द्वारा उनके कोड को एक iframe के अंदर लोड होने से रोकने के लिए किया जाता है, और क्लिकजैकिंग के खिलाफ प्राथमिक सुरक्षा है।

लसक ने कहा कि उसने फेसबुक पर इस मुद्दे की सूचना दी, लेकिन कंपनी ने इसे ठीक करने से इनकार कर दिया।

"जैसा कि अपेक्षित था, फेसबुक ने इस समस्या पर विचार नहीं किया, इस तथ्य के बावजूद कि मैंने यह समझाने की कोशिश की कि इसके क्या सुरक्षा निहितार्थ हैं," उन्होंने कहा। "उन्होंने कहा कि एक सुरक्षा समस्या पर क्लिक करने पर विचार करने के लिए, एक हमलावर को खाते की स्थिति बदलने में सक्षम होना चाहिए (उदाहरण के लिए, सुरक्षा सेटिंग्स अक्षम करना या खाता हटाना)।"

"मेरे विचार से, उन्हें इसे ठीक करना चाहिए," शोधकर्ता ने कहा। - जैसा कि आप देख सकते हैं, एक हमलावर के लिए उपयोगकर्ताओं को दीवार पर कुछ साझा करने में धोखा देकर इस "सुविधा" का दुरुपयोग करना बहुत आसान होगा। ऐसे अवसर के खतरे को अतिरंजित करना असंभव है। आज इसका उपयोग स्पैम के लिए किया जाता है, लेकिन मैं आसानी से ऐसी तकनीक का उपयोग करने के लिए अधिक जटिल विकल्पों की कल्पना कर सकता हूं। ”

शोधकर्ता का दावा है कि यह तकनीक हमलावरों को दुर्भावनापूर्ण या फ़िशिंग साइटों के लिंक वाले स्व-प्रचार संदेश बनाने की अनुमति देती है।

ZDNet की अपील के जवाब में, फेसबुक ने कहा कि उन्होंने इसे एक समस्या के रूप में नहीं देखा, जैसा कि लासक के साथ भी था।

फेसबुक के एक प्रवक्ता ने कहा, "हम इस शोधकर्ता से प्राप्त जानकारी के लिए आभारी हैं और फिलहाल हमने इस मुद्दे पर काम शुरू कर दिया है।" "हमने iframe में" शेयर "संवाद के मोबाइल संस्करण की उपस्थिति की संभावना में बनाया है ताकि लोग इसे तृतीय-पक्ष वेबसाइटों पर उपयोग कर सकें।"

“इस सुविधा के दुरुपयोग को रोकने के लिए, हम iframes में एम्बेडेड सभी उत्पादों के लिए क्लिकजैकिंग डिटेक्शन सिस्टम का उपयोग करते हैं। हम प्राप्त संकेतों के आधार पर इन प्रणालियों में लगातार सुधार कर रहे हैं, फेसबुक ने हमें बताया। "इस रिपोर्ट के बावजूद, इस सप्ताह हमने पहले ही क्लिकजैकिंग डिटेक्शन सिस्टम में सुधार किया है जो शोधकर्ता की रिपोर्ट में वर्णित जोखिमों को नकारता है।"

Lasq के कोड में सीधे क्लिकजैकिंग से संबंधित हिस्सा नहीं था, जो उपयोगकर्ताओं की दीवारों पर संदेश पोस्ट करता है, लेकिन इंटरनेट पर एक सरल खोज किसी भी हमलावर को इसे बनाने और प्रकाशित उदाहरण में जोड़ने के लिए आवश्यक सभी विवरण और नमूना कोड देगा। लसक का कोड एक हमलावर को फेसबुक उपयोगकर्ता खाते में तीसरे पक्ष के अनधिकृत कोड को डाउनलोड करने और चलाने की अनुमति देता है।