חולשת אבטחה נוספת נמצאה בפייסבוק, חולשה זו מאפשרת השגת מידע פרטי לגבי משתמשים וחבריהם. החולשה התגלתה ע"י חוקרי אבטחה מ- Imperva, ונמצאת באופן שבו מוצגות תוצאות חיפוש בפייסבוק.
לפי רון מסס (Ron Masas), חוקר אבטחה מ- Impervia, הדף שבו מוצגים תוצאות החיפוש כולל בתוכו אלמנטים של – iFrame, אלמנטים אלו מקושרים לכל אחת מתוצאות החיפוש, ולקישורים המקושרים ל- iFrame האלו (Endpoint URLs), אין הגנה נגד CSRF (זיוף בקשות ממקור אחר).
ראוי לציין כאן, שחולשה זו דווחה לפייסבוק וכבר תוקנה, ובניגוד לפריצה הקודמת שחשפה מידע על יותר מ- 30 מיליון משתמשי פייסבוק, חולשה זו לא אפשרה לתוקפים לדלות מידע מהרבה חשבונות בבת אחת.
פרטים טכניים
ע"מ לנצל חולשה זו, כל שהיה על תוקף לעשות זה לעבוד על משתמש לבקר בדף זדוני, כאשר המשתמש כבר מחובר לפייסבוק (שימו לב, שרוב המשתמשים בפייסבוק, משתמשים בפונקציית ה- "זכור אותי" ולכן תמיד מחוברים). הדף הזדוני יכיל קוד שירוץ ברקע ברגע שהמשתמש ילחץ על כפתור כלשהו באתר.
דוגמה לקוד:
מידע אותו ניתן היה לדלות באמצעות חולשה זו:
- אם יש לך חבר מסוים לפי מילות מפתח
- אם המשתמש עשה לייק לדף מסוים
- אם המשתמש חבר בקבוצה מסוימת
- אם יש למשתמש חבר שעשה לייק לדף מסוים
- אם המשתמש צילם תמונות בארץ מקום מסוים
- אם אי פעם פורסם עדכון פוסט ע"י המשתמש עם מילות מפתח כלשהם
- אם יש למשתמש חברים בדת מסוימת (איסלם, יהודים, נוצרים, פסטפרים, … )
ובגדול, כל חיפוש מותאם אישית שניתן לחשוב עליו.
