Se acaba de publicar una nueva vulnerabilidad que afecta a la red social Facebook y que permite borrar por completo un álbum de fotos de cualquier usuario sin necesidad de autenticación.
El fallo, descubierto por el investigador indio Laxman Muthiyah, reside en la API remota conocida como Graph API. Este mecanismo sirve para interactuar con tu perfil dentro de la red social mediante comandos HTTP y siempre utilizando un token de autenticación privado.
Según Laxman, utilizando su propio token generado por la App móvil de Facebook consiguió ejecutar las acciones de borrado, no solo en sus álbumes sino en los de otros usuarios de la red social, en cuestión de segundos. Para ello únicamente es necesario conocer el ID del álbum de la víctima
Este es un ejemplo de petición utilizada para explotar la vulnerabilidad:
DELETE /<Victim's_photo_album_id> HTTP/1.1
Host : graph.facebook.com
Content-Length: 245
access_token=<Your(Attacker)_Facebook_for_Android_Access_Token>
Sin duda, está dando sus frutos la iniciativa Bug Bounty iniciada hace tiempo por Facebook, en la cual premia a los investigadores de seguridad que descubren vulnerabilidades en su red social, con cantidades de dinero que dependen de la criticidad de las mismas.
Tenéis más info y vídeo en la Fuente: TheHackersNews