Cuando se utiliza la pestaña “Mensajes” de la red social Facebook, hay una función para adjuntar un archivo. Al utilizar esta función normalmente, el sitio no le permite a un usuario adjuntar un archivo ejecutable (.exe), mostrándole una ventana con un mensaje de error indicándole que:

“Error Uploading; You cannot attach files of that type” (Error al cargar: Usted no puede adjuntar archivos de ese tipo).

Un error fue descubierto para saltarse este mecanismo de seguridad. Obsérvese que hay una particularidad en esta red social, no necesariamente tienen que ser amigos de un usuario para enviarle un mensaje con un archivo adjunto.

El 27 de Octubre pasado salió a la luz un bug en esta red social que permite evadir fácilmente esta restricción el cual fue descubierto por Nathan Poder. A continuación la descripcion del metodo utilizado:

Al cargar un archivo adjunto en Facebook capturamos la solicitud POST del navegador web que se envía al servidor web. Dentro de esta petición POST lea la siguiente línea:

Content-Disposition: form-data; name = “archivo adjunto”, filename = “cmd.exe”

Descubrimos que la variable ‘filename’, se estaba analizando para determinar si el tipo de archivo está permitido o no.

Para subvertir los mecanismos de seguridad y permitir adjuntar un archivo exe, se modificó la petición POST añadiendo un espacio al final para la variable nombre de archivo (filename), así:

filename = “cmd.exe ”

Esto fue suficiente para engañar al analizador y permitir al archivo ejecutable que se adjunta y poder ser enviado en un mensaje

El impacto de este bug es que potencialmente podría permitir a un atacante poner en peligro el sistema de computadora de la víctima.

La vulnerabilidad fue reportada a Facebook el 30 de septiembre del 2011 y fue reconocida por esta red social el 26 de Octubre 2011, dándose a conocer públicamente el 27 de Octubre del 2011.

Traduccion: Velcro

Fuente: securitypentest.com

Anuncios