Scoperto un token Facebook con capacità “God Mode”. Facebook dichiara che è una funzionalità.

Redazione RHC : 13 Febbraio 2022 09:58

Brave questa settimana ha affermato che sta bloccando l’installazione di una popolare estensione di Chrome chiamata LOC perché espone i dati di Facebook degli utenti a potenziali furti.

“Se un utente ha già effettuato l’accesso a Facebook, l’installazione di questa estensione garantirà automaticamente a un server di terze parti l’accesso ad alcuni dati di Facebook dell’utente”

ha spiegato Francois Marier, un ingegnere della sicurezza di Brave, in un post su GitHub Issue.

“L’API utilizzata dall’estensione non fa sì che Facebook mostri una richiesta di autorizzazione all’utente prima che venga emesso il token di accesso dell’applicazione”.

Tuttavia, lo sviluppatore dell’estensione, Loc Mai, ha dichiarato a The Register che la sua estensione non sta raccogliendo informazioni, come afferma la politica sulla privacy dell’estensione. L’estensione conta attualmente circa 700.000 utenti.

“L’estensione non raccoglie i dati dell’utente a meno che l’utente non diventi un utente Premium e l’unica cosa che raccoglie è l’UID, che è unico per ogni persona”

ha spiegato Mai.

Mai ha detto che l’estensione memorizza il token localmente, sotto localStorage.touch. Ciò rappresenta un rischio per la sicurezza ma non è indicativo di illeciti. LOC continua a essere disponibile tramite il Chrome Web Store.

Tuttavia, uno sviluppatore malintenzionato potrebbe raccogliere i dati di Facebook utilizzando lo stesso metodo di accesso, perché Facebook sta esponendo un token in formato testo normale che garantisce ciò che il ricercatore di sicurezza Zach Edwards descrive come “God mode”.

Per ottenere quel token, in modo che gli utenti dell’estensione possano automatizzare l’elaborazione dei propri dati di Facebook, come scaricare i propri messaggi, l’estensione invia una richiesta GET a Creator Studio per Facebook. La richiesta restituisce un token di accesso all’interno per l’utente Facebook che ha effettuato l’accesso, consentendo ulteriori interazioni programmatiche con i dati di Facebook.

Mai ha elaborato questo in risposta al post su GitHub di Brave.

“Il token di accesso è all’interno dell’HTML di quella pagina. Qualsiasi utente di Facebook può semplicemente andare su view-source:https://business.facebook.com/creatorstudio/homee visualizzare il token di accesso la dentro.”

Edwards ha dichiarato a The Register

“Facebook ha affrontato uno scandalo quasi identico nel 2018, quando 50 milioni di account Facebook sono stati cancellati a causa di un’esposizione simbolica”.

Eppure Facebook sembra considerare questo token di erogazione di dati come una funzionalità, non un bug.

Mai ha fornito a The Register una copia dell’e-mail del 9 aprile 2019 che ha utilizzato per segnalare un problema di divulgazione di token su un endpoint diverso che ha consentito lo stesso tipo di accesso ai dati. La risposta da parte della sicurezza di Facebook è stata:

“In questo caso, il problema che hai descritto è in realtà solo una funzionalità e quindi non si qualifica per una taglia”.

“Facebook sembra non aver imparato la lezione dal 2018 e sta ancora esponendo un token in testo normale per ogni utente, su una pagina di nicchia che gli sviluppatori specifici conoscono”

ha affermato Edwards.

“Facebook chiama questa come funzionalità, ma quando il primo sviluppatore di estensioni raccoglie e ruba dati da innumerevoli pagine e utenti, sarà allora che Facebook ammetterà finalmente che si tratta di un bug proprio come i problemi del 2018?”

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.