Theo dõi Thehackernewslỗ hổng nói trên do hãng bảo mật Imperva phát hiện cho thấy nó xuất phát từ cách thức hoạt động của tính năng tìm kiếm trên Facebook, cho phép hiển thị kết quả của các truy vấn đã nhập.
Để khai thác lỗ hổng này, tất cả những gì hacker cần làm chỉ đơn giản là lừa người dùng truy cập vào một trang web độc hại trên trình duyệt web với nội dung đăng nhập tài khoản của họ. Trang web độc hại này chứa mã javascript cho phép lệnh được thực thi ở chế độ nền ngay khi nạn nhân nhấp vào bất kỳ đâu trên trang.
Ngay lập tức đoạn mã javascript sẽ mở ra một tab hoặc cửa sổ mới với URL Facebook, chạy một số truy vấn tìm kiếm được xác định trước và trích xuất thông tin của nạn nhân, bao gồm cả thông tin nhạy cảm liên quan đến trang mà người đó thích. , trang mà người đó là thành viên, vị trí chụp ảnh, vị trí bạn đăng ảnh …
Theo các chuyên gia bảo mật, lỗ hổng nói trên đặc biệt nguy hiểm đối với người dùng di động, bởi các tab đang mở có thể dễ dàng bị ẩn dưới nền lướt web, cho phép kẻ tấn công trích xuất kết quả cho nhiều truy vấn tìm kiếm khác. nhau trong khi người dùng đang xem video hoặc đọc một bài báo trên trang web do kẻ tấn công cung cấp.
\N
Lỗ hổng cho phép kẻ gian tiết lộ sở thích và hoạt động của người dùng và bạn bè của họ ngay cả khi nội dung chỉ được thiết lập để hiển thị ở chế độ Chỉ tôi hoặc Bạn bè.
Imperva đã báo cáo lỗi này cho Facebook thông qua chương trình tiết lộ lỗ hổng bảo mật của công ty và Facebook sau đó đã giải quyết vấn đề này bằng cách thêm các biện pháp bảo vệ CSRF.
