Seguridad

Una vulnerabilidad en Facebook Messenger deja tus mensajes a la vista de cualquiera

Facebook Messenger lanza su función de vídeo en directo
Escrito por Lara Olmo

Un experto en seguridad ha detectado un error en Facebook Messenger que permitía a los atacantes modificar su código html y acceder así a los mensajes privados.

Aunque WhatsApp sea la aplicación de mensajería instantánea por excelencia, la plataforma Facebook Messenger no se queda atrás, ya que mil millones de usuarios la emplean al mes para comunicarse. De ahí que la red social esté poniendo tantos recursos para incorporarle funcionalidades que la hagan cada vez más atractiva.

Sin embargo, en Facebook no habían reparado en una vulnerabilidad de su servicio de chat que estaba permitiendo que ciberatacantes accedieran sin restricción ninguna a las conversaciones de los usuarios y a todos los archivos que en ellas se compartieran.

Así lo ha denunciado un experto en seguridad de la firma Cynet. La vulnerabilidad, que ha bautizado como “Originull”, radica en el hecho de que los chats de Facebook se administran desde un servidor ubicado en {number} -edge-chat.facebook.com, que está separado del dominio real de Facebook (www.facebook.com).

Según el experto, la comunicación entre JavaScript y el servidor se realiza mediante la interfaz XML HTTP Request (XHR). Para acceder a los datos que llegan desde 5-edge-chat.facebook.com en JavaScript, Facebook tiene que agregar:

  • Cabecera “Access-Control-Allow-Origin
  • Cabecera “Access-Control-Allow-Credentials” con un valor “real”

vulnerabilidad-facebook-messenger

Pero el error viene cuando en la cabecera (Header) que identifica el origen el atacante envía “null” (de ahí lo de “Originull”) y obtiene un valor nulo en la cabecera de credenciales, saltándose así las comprobaciones de identidad y accediendo a los mensajes privados de Facebook desde un sitio web externo.

Para aprovecharse de esto, el atacante sólo tiene que engañar al usuario con un cebo para que visite una web infectada, en el que si hace clic, sus conversaciones privas quedan automáticamente expuestas, ya sea desde la app de Facebook o de la versión web.

Esta vulnerabilidad, que ya ha sido parcheada por Facebook, podría afectar a otras webs que emplean controles de restricción de origen nulo y exponer a los visitantes del sitio web a elementos maliciosos.

Sobre el autor de este artículo

Lara Olmo

Periodista 2.0 con inquietudes marketeras. Innovación, redes sociales, tecnología y marcas desde una perspectiva millenial. Vinculada al mundo startup. Te lo cuento por escrito, en vídeo, con gráficos o como haga falta.

  • Carlos

    ¿Por que no publicáis la fuente?
    http://www.cynet.com/blog-facebook-originull/

    • Hola Carlos, en el texto está indicado que ha sido denunciado por un experto en seguridad de Cynet, aunque tienes razón en que lo oportuno es enlazar al blog de Cynet para que quien lo desee amplíe la información. Lo añadimos. Gracias por la advertencia. Un saludo.