Une faille sur Facebook permettait d'enregistrer votre webcam

Facebook vient de corriger une faille de sécurité qui pouvait être exploitée par un pirate pour enregistrer la vidéo de la webcam de la victime, puis l'envoyer à leur timeline sans demander leur permission.

Facebook semble avoir pris sont temps pour corriger cette faille. Les chercheurs en sécurité Aditya Gupta et Subho Halder disent qu'ils ont informé la société du problème il y a quatre mois... Ils sont cependant satisfaits du résultat, de même que la récompense versée par Facebook pour avoir signalé la vulnérabilité qui s'est avérée plus importante que prévue.

Ces chercheurs ont découvert que la fonction de transfert de la vidéo, qui est mise en œuvre dans Flash, n'a pas été correctement protégée contre les attaques de type Cross-site Request Forgery (CSRF). Ils ont développé une page web contenant une applet Flash embedded. En visitant cette page web, l'uploader de vidéo Facebook apparaît mais lorsque l'on clique dessus il enregistre la webcam du visiteur et l'affiche sur sa timeline. La seule obligation est que l'utilisateur doit être connecté à Facebook pour que ça fonctionne.

La vidéo de démonstration montre que les chercheurs cliquent sur le bouton d'enregistrement, mais l'attaque pourrait être étendue en faisant du Clickjacking pour démarrer automatiquement l'enregistrement à leur insu. Comme les deux chercheurs le déclarent dans une interview sur Softpedia, Facebook a d'abord soutenu que la vulnérabilité n'était pas particulièrement grave. Ce n'est que lorsque les chercheurs ont publié un PoC de l'exploit en vidéo démontrant la vulnérabilité que le réseau social a revu sa position et a reclassé la vulnérabilité en tant que critique.

Juste après Noël, Gupta et Halder ont reçu un beau présent de $2.500 (sous forme de crédit sur ​​une carte de débit White Hat) dans le cadre du programme Bounty de Facebook. Les deux chercheurs ont été surpris de la somme (aussi généreuse que tardive d'ailleurs j'aurai rajouté) : "Nous nous attendions à une prime de $500, parce que c'est la somme que Facebook paye habituellement aux chercheurs en sécurité."