В Facebook SDK обнаружена уязвимость

ИБ-эксперты из MetaIntell обнаружили серьезную уязвимость в последней версии Facebook SDK, которая ставит аутентификационные маркеры пользователей соцсети под угрозу компрометации.

Использование Facebook SDK для Android и iOS является наиболее простым способом интегрировать мобильные приложения с платформой Facebook. Набор программных инструментов для разработчиков позволяет облегчить процесс считывания и написания на Facebook API и пр.

Механизм «Зайти c Facebook» (Login as Facebook) является весьма защищенным способом авторизации пользователей в сторонних приложениях, поскольку сам пароль вводить не нужно. После того, как пользователь соглашается на предоставление данных, требуемых программой, Facebook SDK реализует поток OAuth 2.0 User-Agent для изменения данных в Facebook от имени пользователя.

Несмотря на то, что токены нельзя никому раскрывать, хранятся они в незашифрованном виде в библиотеке Facebook SDK. Это означает, что доступ к файлу с маркером можно получить даже на невзломанном Android- или iOS-устройстве.

Опасность состоит в том, что абсолютно каждое приложение, имеющее право доступа к файловой системе устройства, можно использовать для удаленного похищения аутентификационных маркеров. Это позволит злоумышленнику осуществить вход в учетную запись жертвы в Facebook.

Ниже представлено видео с демонстрацией похищения токенов при помощи приложения «Viber» для iOS.