Ca multe companii din domeniu, Facebook are o initiativa care ofera recompense celor care gasesc vulnerabilitati in serviciile sale. Prin aceasta metoda a fost descoperita recent o vulnerabilitate nu doar importanta, dar care este deja exploatata de luni de zile.
O persoana care isi spune Orange Tsai a obtinut 10 mii de dolari pentru munca sa, prin care a dezvaluit o problema de securitate prezenta in infrastructura Facebook. Din fericire, nu este una care sa afecteze utilizatorii, ci una care afecteaza angajatii.
In timp ce scotocea prin infrastructura, Tsai a dat peste o adresa numita files.fb.com. Acolo se afla un serviciu vulnerabil la injectie de SQL, permitand executarea de cod malitios. Dupa ce a obtinut acces la server, a descoperit ca deja exista acolo cod malitios acolo, sub forma unui script care fura informatiile de identificare a tuturor angajatilor care foloseau acel server. Acele date ar fi putut apoi sa fie folosite pentru accesarea altor componente din Facebook.
Conform lui Reginaldo Silva, inginer de securitate la Facebook, acel script malitios a fost pus acolo de un alt specialist de securitate. Acum problema a fost rezolvata, asa ca nu exista pericol ca incidentul sa se mai repete.
