Facebook nega l’esistenza di una falla si sicurezza che poi chiude
Facebook ha apparentemente risolto un vulnerabilità del suo sito social network, dopo aver insistito che non era necessario porvi rimedio.
Nathan Power, che lavora come consulente per CDW, ha aggiornato il suo blog per avvisare che la falla era stata risolta. Il bug poteva consentire ad un utente di Facebook di inviare ad un’altra persona un allegato eseguibile utilizzando la funzione “Messaggi”, senza che il mittente e il destinatario fossero amici. Power, che il 30 settembre ha informato del problema Facebook, ha riscontrato che attraverso il suo server, Facebook analizza i messaggi per vedere se il file inviato rientra tra quelli consentiti. Di solito, i file eseguibili vengono respinti.
Ma Power ha scoperto che se al momento di inviare un messaggio si aggiunge uno spazio extra dopo il nome del file per l’allegato, il filtro del server di Facebook non funziona. Tuttavia, se la vittima accetta il file, è necessario lanciarlo manualmente per installarlo.
Il pericolo è che Facebook potrebbe essere utilizzato per il cosiddetto spear phishing o attacchi mirati con l’intenzione di installare malware sul computer della vittima. Questo tipo di attacco informatico ha avuto successo contro RSA, una azienda specializzata nella protezione di dati personali ed aziendali.
Il responsabile della sicurezza di Facebook, Ryan McGeehan, ha fatto sapere la scorsa settimana che per sfruttare la falla scoperta da Power e portare con un successo un attacco sarebbe necessario l’intervento di un esperto di ingegneria social network. Facebook questa settimana ha continuato ad insistere sul fatto che non era necessario chiudere questa vulnerabilità.
