Facebook: un bug consentiva l’eliminazione dei video senza il consenso del proprietario.

Di recente Facebook ha risolto un bug di sicurezza che consentiva agli aggressori di eliminare i contenuti video senza il consenso dei proprietari.

Il 17 aprile, il ricercatore di sicurezza Ahmad Talahmeh ha pubblicato un avviso che riportava il codice Proof-of-Concept (PoC) in grado di innescare questo genere di attacco sul famoso social network, informando delle sue scoperte Facebook il 25 settembre 2020.

Il problema è stato risolto entro due ore con una patch mentre per il disturbo gli è stata riconosciuta una taglia di 11.000 dollari tramite BountyCon 2020 e due taglie aggiuntive, $ 1150 e $ 2300, sono state successivamente assegnate da Facebook.

Il video live di Facebook consente agli utenti di trasmettere e pubblicare live streaming, una funzione che è stata ampiamente adottata non solo da individui ma anche da aziende e organizzazioni in tutto il mondo, specialmente durante il periodo della pandemia COVID-19 a causa di ordini casalinghi .

Gli utenti possono pubblicare live streaming tramite una pagina, un gruppo e un evento. Una volta terminata una trasmissione, gli utenti possono tagliare il video per eliminare i contenuti non necessari dai loro flussi, e pubblicarli a loro volta.

Talahmeh ha riscontrato un problema con questa funzione che consentiva di tagliare il video in diretta per conto dei proprietari fino alla loro completa cancellazione.

Un comportamento imprevisto che potrebbe avere conseguenze per la privacy e la sicurezza.

Il problema sta nel tagliare il video a cinque millisecondi, secondo il ricercatore che ha detto: “Tagliare il video a cinque millisecondi farà sì che il video duri 0 secondi e il proprietario non sarà in grado di annullarlo”, dice Talahmeh.

Dopo aver ottenuto l’ID del video live di destinazione dell’ID utente , è possibile inviare il codice contenente una richiesta in pacchetto per il taglio di un video che rimuove il video.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks