Es la recompensa más alta otorgada por cualquier vulnerabilidad encontrada en Facebook La vulnerabilidad está relacionada con la función “Iniciar sesión con Facebook” está basada en el protocolo de autorización Open Authorization 2.0 (OAuth 2.0) para realizar un intercambio de tokens entre el sitio oficial de la red social y sitios de terceros. De ser explotada, el fallo permitiría a un actor de amenazas tomar control del flujo de OAuth y extraer el token de acceso, comprometiendo las cuentas de los usuarios. Desde la compañía dirigida por Mark Zuckerberg reconocieron el problema y ya han publicado una actualización de seguridad. A su vez, Amol Baikar fue recompensado con una suma de 55.000 dólares por reportar la vulnerabildad.





El inicio de sesión 'conectándose con Facebook' ('login with Facebook') es usado a menudo por diversas plataformas y sitios web para el intercambio de datos del usuario con la red social. De este modo, el perfil del usuario se convierte en una cuenta universal que lo libera de la necesidad de registrarse en otros servicios y aplicaciones.

Vulnerabilidad Crítica

Se trata de un problema que podría haber estado presente en la red social más popular del mundo desde hace aproximadamente 9-10 años que afecta el inicio de sesión a través de un perfil de Facebook mediante el protocolo de autenticación OAuth 2.0, tal y como explica Amol Baikar, en un artículo publicado este domingo en su sitio web.

• https://www.amolbaikar.com/facebook-oauth-framework-vulnerability/

Una vulnerabilidad en Facebook permiía a un usuario malintencionado obtener acceso no autorizado a cualquier cuenta fue descubierta por el investigador Amol Baikar. Podía obtener acceso al perfil de Facebook de la víctima para enviar mensajes a terceros y hacer publicaciones, además de modificar la información de su cuenta. Además, la vulnerabilidad comprometía asimismo el control de los perfiles de Instagram, Tinder y otros servicios que emplean el mencionado método de autenticación.

La vulnerabilidad se informó a Facebook el año pasado en diciembre y Facebook emite una solución rápida para este error crítico, también emitió una recompensa de $ 55,000 bajo el programa de recompensa de errores de divulgación responsable.

El investigador abordó dos puntos importados que son los principales responsables de esta vulnerabilidad.

• Falta el encabezado "X-Frame-Options"
•  Además, "window.parent", que guarda la interacción del usuario a cero. No era necesario molestarse con window.open o cualquier botón en el evento Click.

Agunos puntos importantes que deben tenerse en cuenta en esta vulnerabilidad de Facebook.

1. Todas las aplicaciones de Facebook y el token de acceso de aplicaciones de terceros podrían ser una fuga al mismo tiempo. (en segundos).

2. La fuga del token de la primera parte tiene permiso completo de lectura / escritura / actualización / eliminación para la cuenta de Facebook. (el atacante puede hacer cualquier cosa con las cuentas de Facebook, incluso agregar correos electrónicos telefónicos que luego puede usar para la contraseña olvidada) (también los tokens pueden consultar para leer cada uno de los mensajes privados, fotos y videos, incluso si están configurados para privacidad "solo para mí" controlar)".

3. Debido a una configuración incorrecta del mensaje de publicación, a alguien que visita un sitio web controlado por un atacante podría haber robado sus tokens de acceso de primera parte para aplicaciones vulnerables utilizando el flujo OAuth de Facebook.

4. Los tokens de la primera parte no son expirables. (nunca expira).

5. El token de primera parte sigue siendo válido incluso si el usuario cambia la contraseña de la cuenta de Facebook. El atacante aún tiene control sobre la cuenta del usuario. Pueden recolectar los datos, incluso el usuario cambia su contraseña.