Lỗ hổng được tiết lộ bởi nhà nghiên cứu Samip Aryal theo chương trình Bug Bounty của năm 2024.
Theo Aryal, xảy ra trong quá trình đặt lại mật khẩu Facebook, đặc biệt là tùy chọn mã xác thực duy nhất 6 chữ số được gửi đến một thiết bị khác mà người dùng đăng nhập. Mã này được cung cấp để xác minh danh tính người dùng và hoàn tất tiến trình đặt lại .
Phân tích truy vấn được gửi bởi trình duyệt khi tùy chọn đặt lại mật khẩu được dùng cho thấy mã duy nhất đã được kích hoạt trong khoảng 2 giờ và không có biện pháp bảo vệ trước kiểu tấn công brute-force.
Kẻ tấn công chỉ cần biết tên người dùng mục tiêu từ đó sử dụng công cụ như Burp Suite để thực hiện brute-force mã 6 chữ số, từ đó cho phép chúng đặt lại mật khẩu tài khoản mục tiêu hoặc đơn giản là truy cập vào tài khoản đó.
Khi lỗ hổng bị khai thác, người dùng mục tiêu nhận được thông báo từ Facebook. Thông báo này một là trực tiếp gửi mã xác thực gồm 6 chữ số, hoặc hai là yêu cầu người dùng nhấn vào thông báo để xem mã. Ở tùy chọn thứ 2 sẽ biến thành mã khai thác one-click (một lần nhấp) thay vì khai thác zero-click.
Lỗ hổng đã được báo cáo cho Facebook vào ngày 30/01 và được vá vào ngày 02/02.
Chương trình Bug Bounty của Facebook sẽ thưởng khoảng 5.000 USD đến 130.000 USD cho người báo cáo lỗ khổng chiếm quyền tài khoản này tùy theo mức độ.
Thanh Bình
(Nguồn securityweek)
07:00 | 15/01/2024
10:00 | 22/03/2024
10:00 | 28/03/2024
15:00 | 03/09/2023
10:00 | 13/12/2023
09:00 | 28/02/2024
09:00 | 03/05/2024
Ngày 16/4, nhà sản xuất linh kiện bán dẫn tích hợp đa quốc gia AMD đã giới thiệu chip mới mới dành cho máy tính xách tay và máy tính để bàn hỗ trợ trí tuệ nhân tạo (AI), khi các nhà thiết kế chip này tìm cách mở rộng thị phần của mình trên thị trường máy tính sử dụng AI (PC AI).
17:00 | 12/04/2024
Ngày 8/4, tập đoàn công nghệ Microsoft của Mỹ công bố kế hoạch thành lập một trung tâm trí tuệ nhân tạo mới (AI) tại thủ đô London của Anh. Trung tâm AI của Microsoft sẽ hoạt động dưới sự dẫn dắt của ông Mustafa Suleyman - nhà đồng sáng lập Google DeepMind và là người mới được Microsoft thuê vào tháng trước.
14:00 | 16/01/2024
Công ty phát triển trò chơi Android - Ateam (Nhật Bản) chứng minh rằng một lỗi cấu hình Google Drive đơn giản có thể dẫn đến nguy cơ lộ thông tin nhạy cảm trong khoảng thời gian hơn 6 năm vừa qua.
08:00 | 11/01/2024
Hãng sản xuất thiết bị chip hàng đầu thế giới - ASML đã hủy một số lô hàng sang Trung Quốc theo yêu cầu của chính phủ Mỹ vào thời điểm trước khi lệnh cấm xuất khẩu có hiệu lực.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Là một trong những nhà cung cấp các sản phẩm và giải pháp an ninh mạng đầu tiên ký cam kết Bảo mật theo Thiết kế của Cơ quan An ninh mạng và Cơ sở hạ tầng An ninh Nội địa (CISA) của Mỹ, Fortinet tiếp tục củng cố cam kết duy trì văn hóa minh bạch triệt để và chịu trách nhiệm với an ninh của các tổ chức, doanh nghiệp, luôn xem đây là ưu tiên hàng đầu của hãng.
09:00 | 15/05/2024
