Una vulnerabilidad crítica en Facebook podría permitía hacerse con el control de cualquier cuenta de Facebook

• Meta soluciona una vulnerabilidad crítica de Facebook que podría haber permitido a los atacantes hacerse con el control de cualquier cuenta.
• Meta premió a los investigadores por notificar el problema de seguridad en el marco del programa de recompensas por fallos de Facebook.

Tomar el control de cuentas en Facebook con 0 clics

El investigador nepalí Samip Aryal describió el fallo como un problema de limitación de velocidad en un punto final específico del flujo de restablecimiento de contraseñas de Facebook. Un atacante podría haber aprovechado el fallo para hacerse con el control de cualquier cuenta de Facebook forzando un tipo concreto de nonce.

Los investigadores descubrieron que el problema afecta al procedimiento de restablecimiento de contraseña de Facebook cuando el usuario selecciona "Enviar código mediante notificación de Facebook".

Al analizar el extremo vulnerable, el investigador descubrió que tres condiciones abrían la puerta a un ataque de fuerza bruta:

• El nonce enviado al usuario está activo durante más tiempo del que esperaba (≈ 2 hrs)
• El mismo código nonce fue enviado cada vez durante el período.
• No hay ningún tipo de invalidación del código después de introducir el código correcto pero con múltiples intentos previos inválidos (al contrario que en la funcionalidad de reinicio por SMS).

Al elegir la opción "Enviar código a través de notificación de Facebook" se enviará una solicitud POST a:

POST /ajax/recover/initiate/ HTTP/1.1

con el parámetro; recover_method=send_push_to_session_login

A continuación, los investigadores intentaron enviar un código de 6 dígitos '000000' para analizar la solicitud POST enviada al endpoint vulnerable:

POST /recover/code/rm=send_push_to_session_login&spc=0&fl=default_recover&wsr=0 HTTP/1.1

donde el parámetro "n" contiene el nonce.

A estas alturas, forzar este valor de 6 dígitos se había convertido en una tarea trivial para cualquiera

"No había limitación de velocidad en este endpoint, por lo que el código de coincidencia fue respondido con un código de estado 302. Utilice este código para iniciar sesión/restablecer la contraseña de la cuenta de FB para la cuenta de usuario", reza el análisis publicado por Aryal.

El investigador observó que al explotar esta vulnerabilidad, Facebook notificaba al usuario afectado. La notificación mostraba directamente el código de seis dígitos o pedía al usuario que tocara la notificación para revelar el código.

El investigador informó del fallo a Meta el 30 de enero de 2024, y la empresa solucionó el problema el 2 de febrero de 2024. Esta vulnerabilidad tuvo una gran repercusión, ya que Meta la reconoció como un exploit de toma de control de cuentas con cero clics. Aryal ocupa actualmente el primer puesto en el Hall of Fame 2024 de Facebook.

Fuentes:

https://securityaffairs.com/159782/hacking/zero-click-facebook-account-takeover.html

https://infosecwriteups.com/0-click-account-takeover-on-facebook-e4120651e23e