เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่ Facebook Messenger ถูกดักฟังแชตได้เพียงแค่ผู้ใช้ไปเข้าเว็บที่ฝังสคริปต์มุ่งร้ายเอาไว้

ช่องโหว่นี้เกิดจากสถาปัตยกรรมของเฟซบุ๊กที่แยกเซิร์ฟเวอร์จาก Messenger ทำให้เซิร์ฟเวอร์แชตรองรับการเรียกข้อมูลจากโดเมน www.facebook.com ขณะที่ตัวแชตเองอาจจะใช้เซิร์ฟเวอร์ 5-edge-chat.facebook.com การเรียกข้อมูลตามปกติจะมีการล็อกโดเมนที่เข้าถึงข้อมูลได้ว่าต้องเป็นเว็บเฟซบุ๊กหลักเท่านั้น โดยทั่วไปจึงไม่มีปัญหาอะไร

Untitled-5

แต่ Ysrael Gurt นักวิจัยความปลอดภัย ไปพบว่าเซิร์ฟเวอร์แชตกลับรองรับในกรณีที่การเรียกข้อมูลแชตไม่ระบุ Origin ไว้ใน HTTP header

Gurt สร้างจาวาสคริปต์ที่สร้าง XML HTTP Request แบบไม่ระบุ Origin ได้สำเร็จ (การเรียกปกติจะระบุโดเมนของเว็บต้นทางทุกครั้ง) เมื่อสคริปต์นี้รันขึ้นมาไม่ว่าจะฝังสคริปต์ไว้บนโดเมนไหน เมื่อเหยื่อเข้าเว็บแล้วเปิดทิ้งไว้ สคริปต์ก็จะเรียกข้อมูลแชตส่งกลับไปยังเซิร์ฟเวอร์ได้ตลอดเวลา

ในการสาธิต Gurt สาธิตเฉพาะการขโมยข้อมูลแชตที่คุยกันระหว่างที่เปิดเว็บดักฟัง หลังจากนั้นจึงรายงานไปยังเฟซบุ๊กผ่านโครงการรายงานช่องโหว่แลกรางวัล เฟซบุ๊กอุดช่องโหว่นี้หลังรายงานไม่กี่วัน

By: lew

Advertisement Replay Ad

ขอขอบคุณ

ข้อมูล : www.blognone.com , www.cynet.com

หลุดภาพ Huawei Nova 3 พร้อมข้อมูลอย่างไม่เป็นทางการ

หลุดภาพ Huawei Nova 3 พร้อมข้อมูลอย่างไม่เป็นทางการ

Apple จะจัดส่งลำโพงอัจฉริยะ HomePod จำนวน 4 ล้านเครื่อง ในปี 2018

Apple จะจัดส่งลำโพงอัจฉริยะ HomePod จำนวน 4 ล้านเครื่อง ในปี 2018

Apple ขยับระยะเวลารอ iPhone X ในสหรัฐอเมริกา เหลือแค่ 1 – 2 สัปดาห์

Apple ขยับระยะเวลารอ iPhone X ในสหรัฐอเมริกา เหลือแค่ 1 – 2 สัปดาห์

Samsung Galaxy S9 อาจจะเผยโฉมบางส่วนในงาน CES 2018

Samsung Galaxy S9 อาจจะเผยโฉมบางส่วนในงาน CES 2018

มาแล้วภาพ Render เต็ม ๆ ของ Samsung Galaxy A (2018) แบบใส่เคส

มาแล้วภาพ Render เต็ม ๆ ของ Samsung Galaxy A (2018) แบบใส่เคส

พบอุปกรณ์ที่ใช้ CPU ARM รัน Windows 10 ตัวปกติจาก ASUS ในฐานข้อมูล GeekBench

พบอุปกรณ์ที่ใช้ CPU ARM รัน Windows 10 ตัวปกติจาก ASUS ในฐานข้อมูล GeekBench

นักวิเคราะห์เผย iPhone ในปี 2018 จะรองรับอินเทอร์เน็ตบนมือถือความเร็ว 1Gbps และใส่ซิมคู่

นักวิเคราะห์เผย iPhone ในปี 2018 จะรองรับอินเทอร์เน็ตบนมือถือความเร็ว 1Gbps และใส่ซิมคู่

Leica CL กล้อง Mirrorless ที่มีหน้าตาสวยงามย้อนยุค เปิดตัวแล้ว

Leica CL กล้อง Mirrorless ที่มีหน้าตาสวยงามย้อนยุค เปิดตัวแล้ว

หลุดภาพเคสของ Samsung Galaxy S9 ครั้งแรกของมือถือเรือธงรุ่นใหม่

หลุดภาพเคสของ Samsung Galaxy S9 ครั้งแรกของมือถือเรือธงรุ่นใหม่

สงครามที่ยาวนาน การเสียดสีผ่านโฆษณาระหว่าง Samsung กับ iPhone

สงครามที่ยาวนาน การเสียดสีผ่านโฆษณาระหว่าง Samsung กับ iPhone

อัปเดตราคา iPhone 6s และ iPhone 6s Plus อดีตเรือธงที่ยังเร็วแรงทุกการใช้งาน

อัปเดตราคา iPhone 6s และ iPhone 6s Plus อดีตเรือธงที่ยังเร็วแรงทุกการใช้งาน

เป็นเรื่องเมื่อ กฟน. สอนบทเรียนราคาแพงกับบริษัทสื่อสารทุกค่ายหลังไม่ยอมย้ายสายลงดิน

เป็นเรื่องเมื่อ กฟน. สอนบทเรียนราคาแพงกับบริษัทสื่อสารทุกค่ายหลังไม่ยอมย้ายสายลงดิน

Facebook Messenger เพิ่มความละเอียดการส่งรูปภาพความละเอียดสูงถึง 4K แล้ววันนี้

Facebook Messenger เพิ่มความละเอียดการส่งรูปภาพความละเอียดสูงถึง 4K แล้ววันนี้

Note 8 vs iPhone X เทียบความเร็วเน็ตระดับ Gigabit LTE รุ่นไหนเล่นเน็ตได้เร็วกว่า มาดูกัน!

Note 8 vs iPhone X เทียบความเร็วเน็ตระดับ Gigabit LTE รุ่นไหนเล่นเน็ตได้เร็วกว่า มาดูกัน!

Uber แถลงการณ์ยอมรับผิดหลังจากตรวจพบการแฮกข้อมูลเป็นเรื่องจริง

Uber แถลงการณ์ยอมรับผิดหลังจากตรวจพบการแฮกข้อมูลเป็นเรื่องจริง

Samsung เพิ่ม Galaxy X “สมาร์ทโฟนม้วนงอได้” ลงในเว็บไซต์แล้

Samsung เพิ่ม Galaxy X “สมาร์ทโฟนม้วนงอได้” ลงในเว็บไซต์แล้

Tencent ถือหุ้น 12 เปอร์เซ็นต์ในบริษัทของ Snapchat

Tencent ถือหุ้น 12 เปอร์เซ็นต์ในบริษัทของ Snapchat

Tencent ขึ้นแท่นบริษัทแรกของเอเชียที่มีมูลค่ามากกว่า 5 แสนล้านเหรียญ

Tencent ขึ้นแท่นบริษัทแรกของเอเชียที่มีมูลค่ามากกว่า 5 แสนล้านเหรียญ

iMac Pro จะใช้ชิปประมวลผล Apple A10 Fusion ของ iPhone ด้วย

iMac Pro จะใช้ชิปประมวลผล Apple A10 Fusion ของ iPhone ด้วย

โฆษณาที่ปรากฏใน Facebook อ้างอิงจากการกด Like : ภัยเงียบที่ร้ายแรงเกินคาดคิด

โฆษณาที่ปรากฏใน Facebook อ้างอิงจากการกด Like : ภัยเงียบที่ร้ายแรงเกินคาดคิด

ส่งอีเมล์ให้เพื่อน

ส่งให้เพื่อนหลายคนใส่ “,” (ส่งพร้อมกันมากสุด 50 อีเมล์)

ส่งอีเมล์