เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่ Facebook Messenger ถูกดักฟังแชตได้เพียงแค่ผู้ใช้ไปเข้าเว็บที่ฝังสคริปต์มุ่งร้ายเอาไว้

ช่องโหว่นี้เกิดจากสถาปัตยกรรมของเฟซบุ๊กที่แยกเซิร์ฟเวอร์จาก Messenger ทำให้เซิร์ฟเวอร์แชตรองรับการเรียกข้อมูลจากโดเมน www.facebook.com ขณะที่ตัวแชตเองอาจจะใช้เซิร์ฟเวอร์ 5-edge-chat.facebook.com การเรียกข้อมูลตามปกติจะมีการล็อกโดเมนที่เข้าถึงข้อมูลได้ว่าต้องเป็นเว็บเฟซบุ๊กหลักเท่านั้น โดยทั่วไปจึงไม่มีปัญหาอะไร

Untitled-5

แต่ Ysrael Gurt นักวิจัยความปลอดภัย ไปพบว่าเซิร์ฟเวอร์แชตกลับรองรับในกรณีที่การเรียกข้อมูลแชตไม่ระบุ Origin ไว้ใน HTTP header

Gurt สร้างจาวาสคริปต์ที่สร้าง XML HTTP Request แบบไม่ระบุ Origin ได้สำเร็จ (การเรียกปกติจะระบุโดเมนของเว็บต้นทางทุกครั้ง) เมื่อสคริปต์นี้รันขึ้นมาไม่ว่าจะฝังสคริปต์ไว้บนโดเมนไหน เมื่อเหยื่อเข้าเว็บแล้วเปิดทิ้งไว้ สคริปต์ก็จะเรียกข้อมูลแชตส่งกลับไปยังเซิร์ฟเวอร์ได้ตลอดเวลา

ในการสาธิต Gurt สาธิตเฉพาะการขโมยข้อมูลแชตที่คุยกันระหว่างที่เปิดเว็บดักฟัง หลังจากนั้นจึงรายงานไปยังเฟซบุ๊กผ่านโครงการรายงานช่องโหว่แลกรางวัล เฟซบุ๊กอุดช่องโหว่นี้หลังรายงานไม่กี่วัน

By: lew

Advertisement Replay Ad

ขอขอบคุณ

ข้อมูล : www.blognone.com , www.cynet.com

เปิดราคา iPhone 8 เครื่องหิ้ว ณ MBK  ไม่แรงอย่างที่คิด

เปิดราคา iPhone 8 เครื่องหิ้ว ณ MBK ไม่แรงอย่างที่คิด

HTC เหลือพนักงานพัฒนามือถือของตนเองเพียง 2,000 คนเท่านั้น

HTC เหลือพนักงานพัฒนามือถือของตนเองเพียง 2,000 คนเท่านั้น

มัลแวร์ CCleaner พุ่งเป้าหมายโจมตีบริษัทไอทียักษ์ใหญ่  Google Microsoft และ Samsung

มัลแวร์ CCleaner พุ่งเป้าหมายโจมตีบริษัทไอทียักษ์ใหญ่ Google Microsoft และ Samsung

ซัมซุง เปิดตัว กาแลคซี่ โน้ต 8 ในไทย ด้วยแนวคิด Do Bigger Things ทำให้ใหญ่กว่าใจคิด

ซัมซุง เปิดตัว กาแลคซี่ โน้ต 8 ในไทย ด้วยแนวคิด Do Bigger Things ทำให้ใหญ่กว่าใจคิด

Meizu เปิดตัว M20 พาวเวอร์แบงค์ ที่รองรับ Quick Charge ความจุ 10,000 mAh ที่ดูดี

Meizu เปิดตัว M20 พาวเวอร์แบงค์ ที่รองรับ Quick Charge ความจุ 10,000 mAh ที่ดูดี

Wacom เปิดตัว Wacom Intuos Pro Tablet ที่มาพร้อมกับปากกาเน้นการวาดเขียนได้ทุกที่

Wacom เปิดตัว Wacom Intuos Pro Tablet ที่มาพร้อมกับปากกาเน้นการวาดเขียนได้ทุกที่

Xiaomi ประกาศเข้าร่วมโครงการพัฒนาระบบ ชาร์จไฟไร้สาย

Xiaomi ประกาศเข้าร่วมโครงการพัฒนาระบบ ชาร์จไฟไร้สาย

สื่อนอกลือ iPhone X อาจยังไม่ได้เริ่มเข้าสู่กระบวนการผลิตด้วยซ้ำ

สื่อนอกลือ iPhone X อาจยังไม่ได้เริ่มเข้าสู่กระบวนการผลิตด้วยซ้ำ

เผยข้อมูลของ HTC U11 Plus จะมาพร้อมจอขอบชิด และปรับบางสิ่งให้ดีขึ้น

เผยข้อมูลของ HTC U11 Plus จะมาพร้อมจอขอบชิด และปรับบางสิ่งให้ดีขึ้น

Instagram เพิ่มฟีเจอร์ปรับฟิลเตอร์ระหว่างถ่าย Live ได้แล้ว

Instagram เพิ่มฟีเจอร์ปรับฟิลเตอร์ระหว่างถ่าย Live ได้แล้ว

เผย 1 ฟีเจอร์สำคัญที่ Android มีให้คุณ แต่ iPhone X ยังไม่มีต่อไป

เผย 1 ฟีเจอร์สำคัญที่ Android มีให้คุณ แต่ iPhone X ยังไม่มีต่อไป

รู้ไว้ใช้ได้นาน 10 วิธีช่วยให้แบตมือถือไม่หมดไว!

รู้ไว้ใช้ได้นาน 10 วิธีช่วยให้แบตมือถือไม่หมดไว!

Facebook ทดสอบฟีเจอร์ Snooze อันฟอลเพื่อนผู้น่ารำคาญพ้นหน้าฟีดชั่วคราว

Facebook ทดสอบฟีเจอร์ Snooze อันฟอลเพื่อนผู้น่ารำคาญพ้นหน้าฟีดชั่วคราว

แนะนำมือถือราคาไม่เกิน 10,000 บาท ที่หาได้ในงาน Thailand Mobile Expo 2017

แนะนำมือถือราคาไม่เกิน 10,000 บาท ที่หาได้ในงาน Thailand Mobile Expo 2017

เนียนเลย นักออกแบบแอป นำ รอยแหว่ง บนหน้าจอ iPhone X มาใช้ให้เกิดประโยชน์ได้ ไม่น้อยหน้าใคร

เนียนเลย นักออกแบบแอป นำ รอยแหว่ง บนหน้าจอ iPhone X มาใช้ให้เกิดประโยชน์ได้ ไม่น้อยหน้าใคร

นักวิเคราะห์ดังชี้ iPhone X จัดจำหน่ายได้ตามต้องการต้องรอถึงปีหน้า

นักวิเคราะห์ดังชี้ iPhone X จัดจำหน่ายได้ตามต้องการต้องรอถึงปีหน้า

วิธีแก้ปัญหา LINE บน iOS ค้างบ่อยก่อนหัวร้อน

วิธีแก้ปัญหา LINE บน iOS ค้างบ่อยก่อนหัวร้อน

แนะนำ 5 สมาร์ทโฟน RAM 6GB รุ่นใหม่ที่น่าสนใจมากที่สุด ณ ชั่วโมงนี้(กันยายน)

แนะนำ 5 สมาร์ทโฟน RAM 6GB รุ่นใหม่ที่น่าสนใจมากที่สุด ณ ชั่วโมงนี้(กันยายน)

Apple ขยายขนาดแอปพลิเคชั่นที่ดาวน์โหลดผ่าน 3G/4G เป็น 150MB แล้ว

Apple ขยายขนาดแอปพลิเคชั่นที่ดาวน์โหลดผ่าน 3G/4G เป็น 150MB แล้ว

สรุป 11 ฟีเจอร์เด็ดของ iPhone บน iOS 11 ระบบปฏิบัติการเวอร์ชันใหม่ล่าสุด

สรุป 11 ฟีเจอร์เด็ดของ iPhone บน iOS 11 ระบบปฏิบัติการเวอร์ชันใหม่ล่าสุด

ส่งอีเมล์ให้เพื่อน

ส่งให้เพื่อนหลายคนใส่ “,” (ส่งพร้อมกันมากสุด 50 อีเมล์)

ส่งอีเมล์