Publié le 02-10-2008 à 00:43:11 dans le thème Réseau - Sécurité

Pays : International - Auteur : Thibaut L.

Pub : Participez à des batailles navales sanglantes et gagnez 10000 € sur Bigpoint.fr

Exclusif - une faille de redirection peut permettre à un pirate de voler n'importe quel accès à Facebook.

Un internaute français a découvert une vulnérabilité sur le site communautaire international Facebook. La faille est toute bête mais d'une efficacité assez redoutable pour le pirate informatique qui souhaiterait l'exploiter.

A noter que l'espace social a été contacté par courrier électronique. L'équipe de Facebook a répondu très rapidement en indiquant à la rédaction de ZATAZ.COM qu'une enquête était en cours et que Facebook allait prendre les mesures appropriées "Thank you for bringing this to our attention. We will investigate this matter and take the appropriate action. Rachel - User Operations".

La faille
Un 0day efficace et assez simple d'utilisation. Tout débute avec une redirection exploitant un bug dans l'url officiel de Facebook. Nous n'expliquerons pas la méthode, du moins tant que cette porte d'accès ne sera pas corrigée. La faille se situe dans une redirection rendue possible via une adresse officielle de Facebook de type facebook.com/x/.

Il suffit à un escroc de rajouter l'adresse d'un espace piégé dans la continuité de cette adresse officielle [ex: facebook.com/x/adresseexterieurepiégée.fr].

L'espace piégé peut prendre plusieurs formes: fausse page de type hameçonnage (phishing), en passant par l'intercepteur de données (ip, cookies, ...) ou l'installation d'un code malicieux de type cheval de Troie. [Voir notre démonstration en vidéo]

Plusieurs tests ont été effectués avec des camarades de jeu de ZATAZ.COM dont un confrère de Vnunet.

Bref, vous l'aurez compris, le mot de passe et le login Facebook de l'internaute visé ne sont plus assurés dans la condition ou cette cible a cliqué sur un lien qui lui sera fourni par Email, IRC, ICQ, MSN.

Nous vous déconseillons de cliquer sur le moindre lien vous dirigeant vers Facebook. Préférez l'adresse officielle en la tapant directement dans votre navigateur.

Le Comité d´Entreprise de GoodYear Amiens fait dans le phishing !

Exclu : Une page dédié à la banque Halifax cachée à l´insu du plein grès du Comité d'Entreprise du fabricant de pneu GoodYear, à Amiens.

DailyMotion HS: Fait trop chaud

Une panne de courant plonge plusieurs centaines de sites Internet Français dans le noir dont Dailymotion, le portail vidéo.

Interpol, nouveau membre du FIRST

La police internationale intègre le cercle du Forum of Incident Response and Security Teams, FIRST.

Fête nationale à la sauce guerre électronique

Un internaute souhaitait lancer une attaque informatique lors de la fête nationale américaine du 4 juillet. Il passera son Independance Day entre quatre murs.

Nouvelles arrestations chez wawa mania

Mercredi matin, les forces de l´ordre française auraient sonné chez de nouveaux administrateurs et uploaders du site Wawa Mania.

Sécurité et mobilité

Périphériques de stockage amovibles : une menace réelle pour la sécurité des informations en entreprises. Une tribune d´Alexei Lesnykh, Responsable du Développement International et de la Stratégie Produit de DeviceLock.

Interoute Internet Barometer

Un widget vous permet de suive en temps réel les attaques informatiques en cours.

Usenet coupable de violation de la propriété intellectuelle

Les ayants droits américains font condamner Usenet. La justice estime que Usenet est directement coupable de violation de la propriété intellectuelle.

Interpol, nouveau membre du FIRST

La police internationale intègre le cercle du Forum of Incident Response and Security Teams, FIRST.

Sécurité et mobilité

Périphériques de stockage amovibles : une menace réelle pour la sécurité des informations en entreprises. Une tribune d´Alexei Lesnykh, Responsable du Développement International et de la Stratégie Produit de DeviceLock.

Interoute Internet Barometer

Un widget vous permet de suive en temps réel les attaques informatiques en cours.

Codes d´accès de jury du bac en accès libre sur la toile

Exclusif : BACCALAUREAT GENERAL session 2009. Plusieurs dizaines d'identifiants de connexion au système de gestion des résultats du bac en accès libre sur Internet.

Problème de confidentialité corrigé sur le site Amaguiz.com

Exclusif : Le site de l´assureur low cost Amaguiz laissait en accès libre plusieurs miliers de dossiers clients. L´espace a été corrigé suite à notre alerte.

Un piège électronique sur le site Presseregional.fr

Exclusif : Étrange fichier découvert sur le site Internet Presseregional.fr, le portail web du Syndicat de la presse quotidienne régionale.

Facebook corrige une faille liée à la vie privée de ses abonnés

Une faille permettait de rentrer dans la vie privée des abonnés de Facebook. Le site vient de corriger 3 semaines après l´alerte.

Des abonnés de Free et Neuf télécom s'échangeraient leurs connexions

Marché noir autour des identifiants appartenant à des clients Freewifi et Neuf télécom Wifi.

Réagissez à ce contenu