DOM tabanlı olarak keşfedilen XSS için sosyal medya devi 20 bin dolar ödül verecek. Söz konusu zafiyetin kritik seviyede olduğu söyleniyor. Zafiyetin, oturum açmış bir kullanıcının saldırgan internet sitesine ziyaretle ortaya çıktığı belirtildi. Yönlendirme sayfasında yer alan kritik bir hatanın kullanılabildiği aktarıldı.
Zafiyetle kullanıcı için yeni sekme ya da pop up açılıyor. Daha sonra access_token tetikleyici başlatılıyor. Bundan sonra da kullanıcı hesabı hackerın kontrolü altına giriyor.
Keşfedilen XSS için 20 bin dolar ödül
Güvenlik araştırmacısı Yusuf Sammouda konu hakkında paylaştığı blog yazısında, bir Facebook uygulamasını yetkilendirmek için 0Auth akışının okunabildiği için işlemin kolay olduğunu belirtti. Sammouda, facebook.com’dan postMessage aracılığıyla çapraz pencerelere ileti gönderebildiğini keşfetti.
Bundan sonra bir script hazırlayan Sammouda, güvenli olmayan form tabanlı veri cevaplarının Eventlistener ile aracılığıyla alındığını belirtti. Daha sonrasında da bunu bir XSS olarak kullandı.
Söz konusu zafiyet, 10 Ekim tarihinde BountCon2020 sırasında keşfedildi. 28 Ekim itibariyle kapatılan zafiyet için araştırmacı Vinoth Kumar 20 bin dolar ödül kazandı. Bununla birlikte Gmail için benzer bir zafiyet 2018’de ortaya çıkmış ve araştırmacı Enguerran Gillier 5 bin dolar ödül kazanmıştı.
Editör : SavunmaTR Haber Merkezi
