Facebook sửa lỗi XSS cho phép chiếm quyền sử dụng tài khoản

Theo Softpedia, chuyên gia bảo mật người Anh Jack Whitton mới đây đã phát hiện một lỗ hổng XSS (chèn mã độc vào web động) cho phép hacker sử dụng ảnh PNG có chứa mã độc để chiếm thông tin người dùng.

Whitton đã bí mật tạo ra một file PNG và chèn mã HTML vào file này. Trong quá trình upload ảnh lên Facebook, máy chủ của mạng xã hội này sẽ bị "lừa" khi chấp nhận lưu file PNG này, nhưng sau đó sẽ lưu lại file PNG này thành một file HTML. Vào lúc này thì file HTML đã được tải lên các máy chủ CDN của Facebook nhưng vẫn chưa gây hại.

Công việc tiếp theo của Whitton là tải file HTML này lên trang Facebook chính. Nhà nghiên cứu này khẳng định đây là một công việc đơn giản do anh chỉ phải vượt qua các biện pháp bảo mật đã được Facebook xây dựng. Dần dần, Whitton đã vượt qua cả bộ chống đường dẫn độc LInkShim, các tùy chỉnh cookie HTTPOnly và các header X-Frame-Options của Facebook.

Cuối cùng, Whitton tìm ra cách tải mã độc lên máy chủ CDN của Facebook để file này sau đó được hiển thị trong thẻ iframe trên tên miền photo.Facebook.com. Bằng cách này, nhà nghiên cứu bảo mật nói trên đã tương tác được với các cookie chính của trang, vốn cũng là nơi lưu trữ các token định danh để xác thực người dùng. Do các token này có thể được sử dụng để giả mạo các phiên đăng nhập của người dùng Facebook, những kẻ xấu tận dụng lỗ hổng XSS mà Whitton tìm ra cùng với các biện pháp CSRF (giả request) khác sẽ có thể thu thập được thông tin cá nhân của người dùng, đăng bài viết giả mạo hoặc làm các tác vụ khác.

Lỗ hổng cho phép chèn mã độc qua các bức ảnh được hacker đăng tải.

Lỗ hổng này thực tế đã được phát hiện và khắc phục từ tháng 7/2015 nhưng đến gần đây mới được công bố. Whitton khẳng định với Softpedia rằng thời gian Facebook dành ra để sửa lỗi này chỉ là vỏn vẹn… 6 giờ đồng hồ, trong khi nhiều công ty khác có thể sẽ mất tới 6 tháng để vá lỗi. Khoản tiền thưởng mà mạng xã hội của Mark Zuckerberg dành tặng cho Whitton cũng là rất lớn: 7.500 USD, một con số đặc biệt hấp dẫn do nhà nghiên cứu bảo mật này chỉ mất 12 giờ để tìm ra vấn đề.

"Để tìm ra một lỗ hổng tiềm năng thì chỉ mất 2 - 3 giờ lục tìm trên các khu vực của Facebook.com. Nhưng để thực sự khai thác được lỗ hổng này, bạn phải mất khoảng 10 giờ để tạo ra sản phẩm ý tưởng có thể thể hiện tác hại của lỗ hổng", Whitton cho biết.

Whitton cũng không phải là một người xa lạ với chương trình "săn bug trúng thưởng" của Facebook. Trong suốt 2 năm vừa qua, nhà nghiên cứu này đã đứng thứ 2 trong bảng xếp hạng chương trình Facebook Whitehat được mạng xã hội số 1 thế giới thực hiện để tìm các lỗi tiềm năng.

Theo Whitton, thời gian giải vá lỗi cho thấy đây là một lỗ hổng khá nghiêm trọng được Facebook ưu tiên giải quyết: "Với các lỗi dạng này, nếu bạn gửi ai đó một đường dẫn tới file ảnh độc thì đoạn mã mà file ảnh này có thể cho phép bạn thực hiện bất cứ tác vụ gì trên tài khoản Facebook của nạn nhân như đăng status, gửi tin nhắn hay truy cập ảnh riêng tư".

"Đây là một lỗi client-side (xảy ra trên máy của người dùng, không phải trên máy chủ), do đó bạn sẽ không thể đột nhập trực tiếp vào máy chủ của Facebook, nhưng vẫn có thể gây ra thiệt hại nghiêm trọng nhanh chóng".

Lỗ hổng này cho phép hacker toàn quyền truy cập và sử dụng tài khoản của nạn nhân.

Whitton cũng so sánh lỗ hổng mình tìm ra với "thảm họa" bảo mật Sammy đã từng xảy ra trên 1 triệu tài khoản MySpace trong vòng 24 giờ vào năm 2005: "Điều đáng lo về XSS là các lỗ hổng này có thể được gắn worm. Mã độc có thể tự động đăng tải đường dẫn lên trang của nạn nhân, khiến cho bạn bè của nạn nhân click vào và bị lây nhiễm, rồi cứ thế tiếp tục".

Lê Hoàng