Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 13 Febbraio 2022 09:58
Brave questa settimana ha affermato che sta bloccando l’installazione di una popolare estensione di Chrome chiamata LOC perché espone i dati di Facebook degli utenti a potenziali furti.
“Se un utente ha già effettuato l’accesso a Facebook, l’installazione di questa estensione garantirà automaticamente a un server di terze parti l’accesso ad alcuni dati di Facebook dell’utente”
CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce.
Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.
Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
ha spiegato Francois Marier, un ingegnere della sicurezza di Brave, in un post su GitHub Issue.
“L’API utilizzata dall’estensione non fa sì che Facebook mostri una richiesta di autorizzazione all’utente prima che venga emesso il token di accesso dell’applicazione”.
Tuttavia, lo sviluppatore dell’estensione, Loc Mai, ha dichiarato a The Register che la sua estensione non sta raccogliendo informazioni, come afferma la politica sulla privacy dell’estensione. L’estensione conta attualmente circa 700.000 utenti.
“L’estensione non raccoglie i dati dell’utente a meno che l’utente non diventi un utente Premium e l’unica cosa che raccoglie è l’UID, che è unico per ogni persona”
ha spiegato Mai.
Mai ha detto che l’estensione memorizza il token localmente, sotto localStorage.touch. Ciò rappresenta un rischio per la sicurezza ma non è indicativo di illeciti. LOC continua a essere disponibile tramite il Chrome Web Store.
Tuttavia, uno sviluppatore malintenzionato potrebbe raccogliere i dati di Facebook utilizzando lo stesso metodo di accesso, perché Facebook sta esponendo un token in formato testo normale che garantisce ciò che il ricercatore di sicurezza Zach Edwards descrive come “God mode”.
Per ottenere quel token, in modo che gli utenti dell’estensione possano automatizzare l’elaborazione dei propri dati di Facebook, come scaricare i propri messaggi, l’estensione invia una richiesta GET a Creator Studio per Facebook. La richiesta restituisce un token di accesso all’interno per l’utente Facebook che ha effettuato l’accesso, consentendo ulteriori interazioni programmatiche con i dati di Facebook.
Mai ha elaborato questo in risposta al post su GitHub di Brave.
“Il token di accesso è all’interno dell’HTML di quella pagina. Qualsiasi utente di Facebook può semplicemente andare su view-source:https://business.facebook.com/creatorstudio/homee visualizzare il token di accesso la dentro.”
Edwards ha dichiarato a The Register
“Facebook ha affrontato uno scandalo quasi identico nel 2018, quando 50 milioni di account Facebook sono stati cancellati a causa di un’esposizione simbolica”.
Eppure Facebook sembra considerare questo token di erogazione di dati come una funzionalità, non un bug.
Mai ha fornito a The Register una copia dell’e-mail del 9 aprile 2019 che ha utilizzato per segnalare un problema di divulgazione di token su un endpoint diverso che ha consentito lo stesso tipo di accesso ai dati. La risposta da parte della sicurezza di Facebook è stata:
“In questo caso, il problema che hai descritto è in realtà solo una funzionalità e quindi non si qualifica per una taglia”.
“Facebook sembra non aver imparato la lezione dal 2018 e sta ancora esponendo un token in testo normale per ogni utente, su una pagina di nicchia che gli sviluppatori specifici conoscono”
ha affermato Edwards.
“Facebook chiama questa come funzionalità, ma quando il primo sviluppatore di estensioni raccoglie e ruba dati da innumerevoli pagine e utenti, sarà allora che Facebook ammetterà finalmente che si tratta di un bug proprio come i problemi del 2018?”
RedazionePer anni, Reddit è rimasto uno dei pochi angoli di Internet in cui era possibile discutere in tutta sicurezza di qualsiasi argomento, dai videogiochi alle criptovalute, dalla politica alle teorie...
Le autorità statunitensi continuano a cercare soluzioni per fermare la fuga di chip avanzati verso la Cina, nonostante le rigide restrizioni all’esportazione in vigore. Il senatore Tom Cot...
Il gruppo Qilin, da noi intervistato qualche tempo fa, è in cima alla lista degli operatori di ransomware più attivi nell’aprile 2025, pubblicando i dettagli di 72 vittime sul suo sit...
Gli autori della minaccia collegati all’operazione ransomware Play hanno sfruttato una vulnerabilità zero-day in Microsoft Windows prima della sua correzione, avvenuta l’8 aprile 20...
È stata individuata una campagna di phishing mirata agli utenti SPID dal gruppo del CERT-AgID, che sfrutta indebitamente il nome e il logo della stessa AgID, insieme al dominio recentemente regis...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
