เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่แชต, เว็บมุ่งร้ายสามารถแอบอ่านแชตของทุกคนได้

เฟซบุ๊กแก้ช่องโหว่ Facebook Messenger ถูกดักฟังแชตได้เพียงแค่ผู้ใช้ไปเข้าเว็บที่ฝังสคริปต์มุ่งร้ายเอาไว้

ช่องโหว่นี้เกิดจากสถาปัตยกรรมของเฟซบุ๊กที่แยกเซิร์ฟเวอร์จาก Messenger ทำให้เซิร์ฟเวอร์แชตรองรับการเรียกข้อมูลจากโดเมน www.facebook.com ขณะที่ตัวแชตเองอาจจะใช้เซิร์ฟเวอร์ 5-edge-chat.facebook.com การเรียกข้อมูลตามปกติจะมีการล็อกโดเมนที่เข้าถึงข้อมูลได้ว่าต้องเป็นเว็บเฟซบุ๊กหลักเท่านั้น โดยทั่วไปจึงไม่มีปัญหาอะไร

Untitled-5

แต่ Ysrael Gurt นักวิจัยความปลอดภัย ไปพบว่าเซิร์ฟเวอร์แชตกลับรองรับในกรณีที่การเรียกข้อมูลแชตไม่ระบุ Origin ไว้ใน HTTP header

Gurt สร้างจาวาสคริปต์ที่สร้าง XML HTTP Request แบบไม่ระบุ Origin ได้สำเร็จ (การเรียกปกติจะระบุโดเมนของเว็บต้นทางทุกครั้ง) เมื่อสคริปต์นี้รันขึ้นมาไม่ว่าจะฝังสคริปต์ไว้บนโดเมนไหน เมื่อเหยื่อเข้าเว็บแล้วเปิดทิ้งไว้ สคริปต์ก็จะเรียกข้อมูลแชตส่งกลับไปยังเซิร์ฟเวอร์ได้ตลอดเวลา

ในการสาธิต Gurt สาธิตเฉพาะการขโมยข้อมูลแชตที่คุยกันระหว่างที่เปิดเว็บดักฟัง หลังจากนั้นจึงรายงานไปยังเฟซบุ๊กผ่านโครงการรายงานช่องโหว่แลกรางวัล เฟซบุ๊กอุดช่องโหว่นี้หลังรายงานไม่กี่วัน

By: lew

ขอขอบคุณ

ข้อมูล : www.blognone.com , www.cynet.com

แนะนำ 6 สมาร์ทโฟนจอใหญ่ ในราคาไม่เกิน 3,000 บาท พร้อมการแสดงผลคมชัด

แนะนำ 6 สมาร์ทโฟนจอใหญ่ ในราคาไม่เกิน 3,000 บาท พร้อมการแสดงผลคมชัด

หลุดภาพ Samsung Galaxy Note8 เต็มเครื่อง พร้อมยืนยันสเปกบางส่วนจากใบโปรโมท

หลุดภาพ Samsung Galaxy Note8 เต็มเครื่อง พร้อมยืนยันสเปกบางส่วนจากใบโปรโมท

ตามมาดูสาว Abigail Ratchford ราชินีปรอทแตกแห่ง Instagram (อัลบั้ม)

ตามมาดูสาว Abigail Ratchford ราชินีปรอทแตกแห่ง Instagram (อัลบั้ม)

เผยภาพหลุดของ Samsung Galaxy Note 8 ก่อนเปิดตัวอีกไม่กี่วันข้างหน้า

เผยภาพหลุดของ Samsung Galaxy Note 8 ก่อนเปิดตัวอีกไม่กี่วันข้างหน้า

อัปเดตโปรโมชั่น iPhone 7 และ iPhone 7 Plus สัปดาห์ที่ 2 ของเดือนสิงหาคม[ล่าสุด]

อัปเดตโปรโมชั่น iPhone 7 และ iPhone 7 Plus สัปดาห์ที่ 2 ของเดือนสิงหาคม[ล่าสุด]

iOS11 จะมีระบบให้ตำรวจปลดล็อคเครื่องได้ง่ายแค่กดปุ่มเดียว

iOS11 จะมีระบบให้ตำรวจปลดล็อคเครื่องได้ง่ายแค่กดปุ่มเดียว

[Tips] เทคนิคง่าย ๆ กับการทำความสะอาดแผ่นรองเมาส์ที่ถูกวิธีให้สะอาดใสกิ๊งเหมือนตอนซื้อมาใหม่ ๆ

[Tips] เทคนิคง่าย ๆ กับการทำความสะอาดแผ่นรองเมาส์ที่ถูกวิธีให้สะอาดใสกิ๊งเหมือนตอนซื้อมาใหม่ ๆ

EISA Award ประกาศผลมือถือยอดเยี่ยมประจำปี 2017 มาดูกันมีรุ่นไหนบ้าง?

EISA Award ประกาศผลมือถือยอดเยี่ยมประจำปี 2017 มาดูกันมีรุ่นไหนบ้าง?

โรคขาดมือถือไม่ได้ ขยายตัวรวดเร็ว รุนแรง มากกว่าแค่ ปัญหามือถือ

โรคขาดมือถือไม่ได้ ขยายตัวรวดเร็ว รุนแรง มากกว่าแค่ ปัญหามือถือ

เทียบสัดส่วนของ iPhone 7 และ iPhone 7s มันจะบางลงอีก

เทียบสัดส่วนของ iPhone 7 และ iPhone 7s มันจะบางลงอีก

วิธีทำให้ iPhone ไม่ต้องเล่นเพลงเดิมให้ฟังแบบซ้ำๆ เวลาต่อเข้ากับเครื่องเสียงในรถ ทำอย่างไร มาดูกัน

วิธีทำให้ iPhone ไม่ต้องเล่นเพลงเดิมให้ฟังแบบซ้ำๆ เวลาต่อเข้ากับเครื่องเสียงในรถ ทำอย่างไร มาดูกัน

5 ฟีเจอร์เด็ดที่จะทำให้ iPhone 8 เปลี่ยนแปลง iPhone แบบเดิมๆ ไปตลอดกาล ก่อนเผยโฉมกันยายนนี้!

5 ฟีเจอร์เด็ดที่จะทำให้ iPhone 8 เปลี่ยนแปลง iPhone แบบเดิมๆ ไปตลอดกาล ก่อนเผยโฉมกันยายนนี้!

Huawei Mate 10 ว่าที่เรือธงกล้องคู่ (Dual-Camera) ยืนยันเปิดตัว 16 ตุลาคมนี้

Huawei Mate 10 ว่าที่เรือธงกล้องคู่ (Dual-Camera) ยืนยันเปิดตัว 16 ตุลาคมนี้

ทำความรู้จัก AIS Next G เมื่ออินเทอร์เน็ตบนมือถือ ถูกติดจรวดให้เร็วถึง 1 Gbps

ทำความรู้จัก AIS Next G เมื่ออินเทอร์เน็ตบนมือถือ ถูกติดจรวดให้เร็วถึง 1 Gbps

Facebook ปรับการแสดงผล News Feed อีกครั้งจับเว็บที่ทำเนื้อหาให้เหมือนวีดีโอ

Facebook ปรับการแสดงผล News Feed อีกครั้งจับเว็บที่ทำเนื้อหาให้เหมือนวีดีโอ

หลุด Galaxy Note 8 สี Deep Blue สีใหม่จาก Samsung

หลุด Galaxy Note 8 สี Deep Blue สีใหม่จาก Samsung

เมื่อ “Colorful Balloons” อาจเป็นแอปพลิเคชันที่ทำให้ Facebook เข้าถึงตลาดอีก 1 พันล้าน

เมื่อ “Colorful Balloons” อาจเป็นแอปพลิเคชันที่ทำให้ Facebook เข้าถึงตลาดอีก 1 พันล้าน

ครั้งแรก! ในเอเชียตะวันออกเฉียงใต้ กับ “AIS NEXT G” เครือข่ายใหม่ความเร็วระดับ 1 Gbps

ครั้งแรก! ในเอเชียตะวันออกเฉียงใต้ กับ “AIS NEXT G” เครือข่ายใหม่ความเร็วระดับ 1 Gbps

หยุดเดาคำอัตโนมัติ กับ 3 วิธีง่ายๆ ใช้ได้ทั้ง iOS และ Android

หยุดเดาคำอัตโนมัติ กับ 3 วิธีง่ายๆ ใช้ได้ทั้ง iOS และ Android

ผ่าแพ็กเกจ Premier Full HD ของ AIS นอกจาก Game of Thrones แล้ว  มีอะไรน่าดูอีก คุ้มไหม? ที่จะจ่าย!

ผ่าแพ็กเกจ Premier Full HD ของ AIS นอกจาก Game of Thrones แล้ว มีอะไรน่าดูอีก คุ้มไหม? ที่จะจ่าย!

ส่งอีเมล์ให้เพื่อน

ส่งให้เพื่อนหลายคนใส่ “,” (ส่งพร้อมกันมากสุด 50 อีเมล์)

ส่งอีเมล์