Luka w kodzie JavaScript Facebooka
Facebook wprowadził ważne zmiany w sposobie tworzenia swoich stron fanowskich. Nowe funkcje nie są jednak całkowicie bezpieczne.
Wcześniej zakładki do tych stron były tworzone na dwa sposoby. Pierwszy, oparty na aplikacji Facebook FBML, umożliwiał ich tworzenie za pomocą statycznego języka FBML (Facebook Markup Language) lub HTML, co było bardzo proste i nie wymagało dużej wiedzy. Drugi sposób polegał na dodaniu niestandardowej aplikacji Facebooka do standardowej zakładki FBML , tak aby aplikacja ta mogła zażądać danych zewnętrznych od strony trzeciej i wyświetlić je w zakładce. Treść takich zakładek podlegała jednak wielu ograniczeniom technicznym i była w całości proksowana przez Facebooka, co utrudniało wiele zadań, np. śledzenie pikseli lub wykonywanie funkcji JavaScript i Flash.
Na czym polegają zmiany? Otóż teraz można włączać ramki iframes bezpośrednio do aplikacji Facebooka na zakładkach stron, co pozwala uniknąć proksowania. Zmiana ta niewątpliwie ucieszy programistów działających zgodnie z prawem, ale - niestety - ułatwi również życie tym, którzy nie mają dobrych intencji.
Teraz można skonfigurować stronę Facebooka, utworzyć domyślną zakładkę docelową (tę, którą widać jako pierwszą po otwarciu strony) i dodać do niej aplikację zawierającą ramkę iframe. Ramka iframe może zawierać na przykład kod JavaScript, który natychmiast i bez interakcji kieruje użytkownika na wybraną stronę. Strona ta może zawierać fałszywy program antywirusowy lub zestaw exploita, który tylko czeka, aby niepostrzeżenie zainfekować komputer szkodliwym oprogramowaniem.
Przestępca nie musi już przygotowywać ataków typu likejacking wywoływanych kliknięciem przycisku Like (Lubię to!), ani też przekonywać użytkownika do zainstalowania aplikacji. Może bardzo łatwo sprawić, że użytkownik sam odwiedzi szkodliwą stronę, co uruchomi łańcuch zdarzeń prowadzących do zainfekowania komputera i wykorzystania go w celach przestępczych.
Oczywiście Facebook prosi swoich programistów o akceptację kodeksu postępowania, który zakazuje takich działań, ale w przypadku przestępców można to porównać do odebrania prawa jazdy złodziejowi samochodów. Facebook został poinformowany przez Trend Micro o tym niedopatrzeniu w jego nowych funkcjach.
Rik Ferguson
Autor jest starszym oradcą ds. bezpieczeństwa w Trend Micro
