Une URL vulnérable permettait d’y ajouter une adresse email et de prendre le contrôle du compte par le biais de la réinitialisation du mot de passe.
Un clic de souris, et hop, votre compte Facebook aurait pu tomber dans les mains d’un attaquant. Le réseau social vient de combler une bien méchante faille que le chercheur en sécurité « Samm0uda » a récemment découverte.
Elle permettait de créer des liens piégés qui, s’ils sont cliqués par un utilisateur authentifié, permettaient d’exécuter diverses actions néfastes sur le compte, comme publier un article sur le mur ou effacer une photo de profil.
Ces liens piégés permettaient même à l’attaquant d’ajouter son propre e-mail au compte de la victime. Et donc, par le biais d’une réinitialisation de mot de passe, d’en prendre le contrôle total (sauf si l’authentification à double facteur était activée).
Ces attaques étaient possibles en raison d’une URL vulnérable du domaine facebook.com qui permettait d’exécuter des requêtes HTTP/POST sur d’autres URL, tout en contournant les contrôles d’accès.
Cette URL était « https://www.facebook.com/comet/dialog_DONOTUSE/?url= ». Dans le cas de l’ajout d’une adresse e-mail, l’attaque impliquait en réalité toute une succession d’URLs qui étaient exécutées automatiquement l’une après l’autre, comme on peut le constater dans la note de blog de Samm0uda. « L’attaque peut sembler longue, mais c’est réalisé en l’espace d’un clin d’œil », souligne-t-il.
Face à ce problème, Facebook a agi très rapidement. Le chercheur a alerté le réseau social le 26 janvier. Sept jours plus tard, la faille était colmatée. L’expert en sécurité a reçu 25 000 dollars en guise de récompense.
