เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

Blognone

สนับสนุนเนื้อหา

เฟซบุ๊กแก้ช่องโหว่ Facebook Messenger ถูกดักฟังแชตได้เพียงแค่ผู้ใช้ไปเข้าเว็บที่ฝังสคริปต์มุ่งร้ายเอาไว้

ช่องโหว่นี้เกิดจากสถาปัตยกรรมของเฟซบุ๊กที่แยกเซิร์ฟเวอร์จาก Messenger ทำให้เซิร์ฟเวอร์แชตรองรับการเรียกข้อมูลจากโดเมน www.facebook.com ขณะที่ตัวแชตเองอาจจะใช้เซิร์ฟเวอร์ 5-edge-chat.facebook.com การเรียกข้อมูลตามปกติจะมีการล็อกโดเมนที่เข้าถึงข้อมูลได้ว่าต้องเป็นเว็บเฟซบุ๊กหลักเท่านั้น โดยทั่วไปจึงไม่มีปัญหาอะไร

Untitled-5

แต่ Ysrael Gurt นักวิจัยความปลอดภัย ไปพบว่าเซิร์ฟเวอร์แชตกลับรองรับในกรณีที่การเรียกข้อมูลแชตไม่ระบุ Origin ไว้ใน HTTP header

Gurt สร้างจาวาสคริปต์ที่สร้าง XML HTTP Request แบบไม่ระบุ Origin ได้สำเร็จ (การเรียกปกติจะระบุโดเมนของเว็บต้นทางทุกครั้ง) เมื่อสคริปต์นี้รันขึ้นมาไม่ว่าจะฝังสคริปต์ไว้บนโดเมนไหน เมื่อเหยื่อเข้าเว็บแล้วเปิดทิ้งไว้ สคริปต์ก็จะเรียกข้อมูลแชตส่งกลับไปยังเซิร์ฟเวอร์ได้ตลอดเวลา

ในการสาธิต Gurt สาธิตเฉพาะการขโมยข้อมูลแชตที่คุยกันระหว่างที่เปิดเว็บดักฟัง หลังจากนั้นจึงรายงานไปยังเฟซบุ๊กผ่านโครงการรายงานช่องโหว่แลกรางวัล เฟซบุ๊กอุดช่องโหว่นี้หลังรายงานไม่กี่วัน

By: lew

ขอขอบคุณ

ข้อมูล : www.blognone.com , www.cynet.com

สรุป Commart Joy 2017 ยอดซื้อเกมส์ บิดคอยน์และกลุ่มอิเล็กทรอนิกส์ดีขึ้น

สรุป Commart Joy 2017 ยอดซื้อเกมส์ บิดคอยน์และกลุ่มอิเล็กทรอนิกส์ดีขึ้น

เปิดฉาก Thailand Cybersecurity Week 2017 เน้นให้คนไทยรู้ถึงภัยคุกคามอินเทอร์เน็ต

เปิดฉาก Thailand Cybersecurity Week 2017 เน้นให้คนไทยรู้ถึงภัยคุกคามอินเทอร์เน็ต

เทรนด์ไมโคร สนับสนุนสตาร์ทอัพอย่างเต็มที่ เงินลงทุนกว่า 100 ล้านดอลลาร์ฯ

เทรนด์ไมโคร สนับสนุนสตาร์ทอัพอย่างเต็มที่ เงินลงทุนกว่า 100 ล้านดอลลาร์ฯ

ยลโฉมภาพหลุดของ Samsung Galaxy Stellar 2 มือถือจอเล็ก สเปคคุ้มค่า

ยลโฉมภาพหลุดของ Samsung Galaxy Stellar 2 มือถือจอเล็ก สเปคคุ้มค่า

Qualcomm เปิดเผย Snapdragon 450 เล็กแต่ประสิทธิภาพดีขึ้น กินไฟน้อยลง

Qualcomm เปิดเผย Snapdragon 450 เล็กแต่ประสิทธิภาพดีขึ้น กินไฟน้อยลง

''ไม่มีอะไรหรอกที่รัก ก็แค่ Application เรียกรถ Taxi ''

''ไม่มีอะไรหรอกที่รัก ก็แค่ Application เรียกรถ Taxi ''

เผยรายชื่อมือถือ Samsung Galaxy ที่จะได้ไปต่อใน Android O

เผยรายชื่อมือถือ Samsung Galaxy ที่จะได้ไปต่อใน Android O

หลุดภาพ Render จำลอง Samsung Galaxy Note 8 ก่อนเจอกันอีกไม่นาน

หลุดภาพ Render จำลอง Samsung Galaxy Note 8 ก่อนเจอกันอีกไม่นาน

เทียบ Samsung Galaxy J7 Pro, J7 Prime และ J7 Version 2 (2016) สามสมาร์ทโฟน J-Series รุ่นเด็ด

เทียบ Samsung Galaxy J7 Pro, J7 Prime และ J7 Version 2 (2016) สามสมาร์ทโฟน J-Series รุ่นเด็ด

ถ่ายเท่าไหร่ก็กาก? ไม่ยาก 10 เคล็ดลับแก้ไขสกิลถ่ายภาพแบบเร่งด่วน ทำไงมาดูกัน!

ถ่ายเท่าไหร่ก็กาก? ไม่ยาก 10 เคล็ดลับแก้ไขสกิลถ่ายภาพแบบเร่งด่วน ทำไงมาดูกัน!

iPad Pro 10.5 นิ้ว และ 12.9 นิ้ว Cellular + WiFi รุ่นใส่ซิมพร้อมขายแล้วในประเทศไทย

iPad Pro 10.5 นิ้ว และ 12.9 นิ้ว Cellular + WiFi รุ่นใส่ซิมพร้อมขายแล้วในประเทศไทย

ส่องแพ็กเกจอินเทอร์เน็ต 4G Unlimited ใช้งานได้ไม่อั้นแบบเต็มสปีด จาก 3 ค่าย แบบไหนคุ้มค่ากว่า

ส่องแพ็กเกจอินเทอร์เน็ต 4G Unlimited ใช้งานได้ไม่อั้นแบบเต็มสปีด จาก 3 ค่าย แบบไหนคุ้มค่ากว่า

Nubia ประเทศไทยเปิดตัว N2 มือถือร่างใหญ่จอสมจริงพร้อมกับแบตเตอรี่ 5000 mAh

Nubia ประเทศไทยเปิดตัว N2 มือถือร่างใหญ่จอสมจริงพร้อมกับแบตเตอรี่ 5000 mAh

Samsung เปิดตัวกล่องวงจรปิดไร้สายชัดมากถึงระดับ Full HD

Samsung เปิดตัวกล่องวงจรปิดไร้สายชัดมากถึงระดับ Full HD

[iOS Tips] 3 ปัญหาแบตเตอรี่บน iPhone ที่พบเจอบ่อยมากที่สุด พร้อมวิธีการแก้ไขเบื้องต้น

[iOS Tips] 3 ปัญหาแบตเตอรี่บน iPhone ที่พบเจอบ่อยมากที่สุด พร้อมวิธีการแก้ไขเบื้องต้น

Twitter ปล่อยเวอร์ชั่น 7.2 ให้ Android พร้อมฟีเจอร์ใหม่ เปิด Night Mode เอง

Twitter ปล่อยเวอร์ชั่น 7.2 ให้ Android พร้อมฟีเจอร์ใหม่ เปิด Night Mode เอง

ลองเล่นยัง? Facebook เพิ่มลูกเล่นร่ายเวทมนตร์บนหน้าฟีด ราวกับในหนัง Harry Potter ทำอย่างไร มาดูกัน!

ลองเล่นยัง? Facebook เพิ่มลูกเล่นร่ายเวทมนตร์บนหน้าฟีด ราวกับในหนัง Harry Potter ทำอย่างไร มาดูกัน!

Facebook เพิ่มสีสันใน Video Chat สามารถใส่ Effect แสดงอาการจนถึงหน้ากากได้

Facebook เพิ่มสีสันใน Video Chat สามารถใส่ Effect แสดงอาการจนถึงหน้ากากได้

iOS 11 Public Beta 1 รุ่นคนทั่วไปลองใช้ก่อนของจริงมาเดินกันยายนนี้

iOS 11 Public Beta 1 รุ่นคนทั่วไปลองใช้ก่อนของจริงมาเดินกันยายนนี้

[iOS Tips] วิธีการตรวจสอบว่า แอปฯ ใดบ้างในเครื่องที่ไม่รองรับ iOS 11 (เป็นแบบ 32-bit) ทำอย่างไร มาดู

[iOS Tips] วิธีการตรวจสอบว่า แอปฯ ใดบ้างในเครื่องที่ไม่รองรับ iOS 11 (เป็นแบบ 32-bit) ทำอย่างไร มาดู

ส่งอีเมล์ให้เพื่อน

ส่งให้เพื่อนหลายคนใส่ “,” (ส่งพร้อมกันมากสุด 50 อีเมล์)

ส่งอีเมล์