« Cela est possible grâce à un noeud final vulnérable qui prend un autre noeud final Facebook sélectionné par l’attaquant avec les paramètres et lui envoie une demande POST après l’ajout du paramètre fb_dtsg. » Le point de terminaison vulnérable, comme indiqué, était https://www.facebook.com/comet/dialog_DONOTUSE/?url=XXXX. Ici, XXXX désigne le paramètre servant à la demande POST. Selon Sammouda, la vulnérabilité existait dans le terminal situé sous le domaine “www.facebook.com”. Ainsi, il est devenu plus facile pour un attaquant potentiel d’exploiter la faille. Un attaquant pourrait simplement pirater des comptes Facebook en incitant simplement les victimes à cliquer sur un lien malveillant. En fait, le pirate informatique lui-même a démontré une gamme de fonctions qu’il pourrait remplir en exploitant ce lien. Cela inclut la publication d’un scénario, la suppression de la photo de profil ou même l’incitation à supprimer le compte par l’utilisateur. Expliquant davantage l’exploit, il a expliqué que le même lien pourrait être utilisé pour prendre en charge des comptes. Il suffisait d’ajouter un nouveau numéro de téléphone et une nouvelle adresse électronique au compte cible. Facebook récompensé d’une prime de 25 000 $ Peut-être que gagner une grosse somme de 25 000 $ à titre de prime pour avoir signalé un seul bogue n’est pas chose facile. Cependant, il semble que Facebook ait compris le caractère critique de la vulnérabilité signalée par Sammouda. Comme il l’a écrit dans son blog, cette vulnérabilité pourrait laisser un attaquant prendre le contrôle de tout compte aléatoire.
« L’attaque semble longue mais c’est fait en un clin d’œil et c’est dangereux, car elle ne cible pas un utilisateur spécifique, mais toute personne visitant le lien »En termes simples, cette vulnérabilité du CSRF avait placé presque tous les comptes Facebook au bord du piratage. Merci à Sammouda pour avoir rapidement signalé la faille à Facebook. De plus, Facebook a agi rapidement pour corriger la faille dans les cinq jours suivant le rapport initial. Bien que, le récent rapport souligne une faille de sécurité critique que Facebook a corrigée à temps. Cependant, ce n’est pas la première fois que Facebook doit faire face à une vulnérabilité critique. L’année dernière, nous avons entendu parler de nombreux cas où des bogues Facebook ont exposé des photos d’utilisateurs et déclenché des piratages de compte par millions.]]>