Facebook ၏ XSS အားနည္းခ်က္

လုံျခဳံေရးဆိုင္ရာ သုေတသီတစ္ဦ:ျဖစ္သည့္ Jack Whitton သည္ အသုံးျပဳသူမ်ား၏ Facebook အေကာင့္ကို Attacker မ်ား ရယူသြားနိုင္မည့္ ဆိုးရြားေသာ XSS (Cross-Side Scripting) အားနည္းခ်က္ကို ေတြ႕ရွိခဲ့သည္။ တိုက္ခိုက္မွုတြင္ အပိုင္း (၂) ပိုင္းပါဝင္သည္။ တစ္ခုမွာ Content Type ႏွင့္ ပတ္သက္ၿပီး အျခားတစ္ခုမွာ DNS ဆိုင္ရာ ကိစၥတစ္ခု ျဖစ္သည္။

Whitton သည္ Upload ျပဳလုပ္ေနသည့္ ဖိုင္ကို ၾကားျဖတ္ရယူခဲ့သည္။ ထို႔ေနာက္ ၎ဖိုင္၏ Extension ကို Html အျဖစ္ ေျပာင္းလဲရန္ ႀကိဳးစားခဲ့သည္။ ပုံမွန္အားျဖင့္ upload ျပဳလုပ္ေနသည့္ ဓာတ္ပုံႏွင့္ ဗြီဒီယိုမ်ားကို ထိုသို႔ ျပဳလုပ္ရန္ ခြင့္မျပဳေသာ္လည္း Ads Manager ျဖင့္ Upload ျပဳလုပ္ေသာ ဓာတ္ပုံမ်ားကိုမူ Extension ေျပာင္းလဲခြင့္ ေပးထားေၾကာင္း ေတြ႕ရွိခဲ့သည္။

Exif ႏွင့္ iTXt ရွိ Metadata မ်ားကို Facebook မွဖယ္ရွားေသာေၾကာင့္ PNG ဖိုင္၏ ဓာတ္ပုံႏွင့္ဆိုင္ေသာ အခ်က္ အလက္မ်ားသာ ထားရွိသည့္ IDAT အပိုင္းေပၚတြင္ XSS Payload တစ္ခုကို ထည့္သြင္းစမ္းသပ္ခဲ့သည္။ သို႔ေသာ္လည္း Facebook ၏ Content Delivery Network (CDN) သည္ Sandbox ျပဳလုပ္ထားျခင္းေၾကာင့္ ဓာတ္ပုံအတြင္းရွိ Payload ကို အသုံးျပဳနိုင္ျခင္း မရွိေသးေပ။

ထို႔ေနာက္တြင္ CDN အတြင္းသို႔ Script ထည့္သြင္းနိုင္မည့္ နည္းလမ္းကို ရွာေတြ႕ခဲ့ၿပီးေနာက္ အဆိုပါ Script ကို Run ေစမည့္လင့္ခ္ကို အႏၲရာယ္မရွိသည့္ သာမန္ဝက္ဘ္ဆိုက္အသြင္ျဖင့္ အသုံးျပဳသူမ်ားထံ ေပးပို႔ခဲ့သည္။ Request မ်ားကို Facebook ထံသို႔ တိုက္ရိုက္ေရာက္ရွိေစရန္ iframe အတြင္း၌ ထည့္သြင္းနိုင္သည့္ Facebook Plugin အား အသုံးျပဳခဲ့သည္။ အဆိုပါ iframe သည္ CSRF (Cross-Side Request Forgery) အား ကာကြယ္ထားျခင္းကို ေက်ာ္လႊားေပးသည့္အတြက္ ျဖားေယာင္းျပီး ေထာင္ဖမ္းထားသည့္လင့္ခ္အား ႏွိပ္မိသည္ႏွင့္ အသုံးျပဳသူ၏ Authentication Token သည္ Attacker ထံသုိ႕ ေရာက္ရွိသြားမည္ ျဖစ္သည္။

"iframe ထဲကို Plugin ထည့္ၿပီးတာနဲ႔ ကၽြန္ေတာ္တို႔လုပ္စရာက Onload Event ျဖစ္လာမည့္အခ်ိန္ကို ေစာင့္ဖို႔ပါပဲ" ဟူ၍ Whitton က သူ၏ Blog Post တြင္ ရွင္းျပထားသည္။ အသုံးျပဳသူ၏ Token ရရွိၿပီးပါက အေကာင့္ပိုင္ရွင္ကဲ့သို႔ အေကာင့္အား အလုံးစုံ စီမံနိုင္မည္ ျဖစ္သည္။

Whitton သည္ ၎အားနည္းခ်က္ကို Facebook အား (၂၀၁၅) ခုႏွစ္ ဇူလိုင္လတြင္ အေၾကာင္းၾကားခဲ့ၿပီး ကုမၸဏီမွလည္း အဆိုပါျပႆနာကို (၆) နာရီအတြင္း ျပဳျပင္နိုင္ခဲ့သည္။ လုံျခဳံေရးဆိုင္ရာ အားနည္းခ်က္ကို ေတြ႕ရွိခဲ့သည့္ ပညာရွင္အား Bounty Program အရ အေမရိကန္ေဒၚလာ (၇၅၀၀) ခ်ီးျမႇင့္ခဲ့သည္။

26-2-2016

သတင္းစီစဥ္ တင္ဆက္သူ - Nub90d (MEHN Team)