مجتمع الهكر الأخلاقي: ثغرة تتيح حذف اي فيديو من الفيسبوك

ثغرة تتيح حذف اي فيديو من الفيسبوك

من المعلوم بأن شركة فيسبوك اتاحت قبل اسابيع ميزة جديدة للتعليقات وهي امكانية اضافة تعليق على شكل فيديو. وكما هو الحال فإن عملية اضافة خصائص وميزات جديدة على اي موقع الكتروني او شبكة اجتماعية تتيح للمخترقين والباحثين الأمنيين فرصة اكتشاف ثغرات جديدة وبالتالي جني أموال من هذه الشركات.

فقد قام باحث أمني هندي يدعى Pranav Hivarekar بإكتشاف ثغرة في هذه الخاصية تتيح له حذف أي فيديو على الفيسبوك بسبب وجود ثغرة منطقية (Logical Bug) في عملية الحذف للتعليق على شكل الفيديو تسمح له بذلك.

مبدأ الثغرة يكمن في انه وبمجرد ان يتم اضافة تعليق على شكل فيديو من قبل اي شخص فإن الفيديو يتم رفعه على الحساب الشخصي للمعلق و اعطاءه رقم خاص به ومن ثم يتم ربط التعليق برقم الفيديو لكي يظهر في التعليقات.

طريقة اثباته لهذه الثغرة كما يلي :

1- قام بإنشاء تعليق على منشور من خلال خدمة GraphAPI المتاحة من قبل فيسبوك للمطورين.
2- قام بتعديل التعليق واضاف له فيديو من إختياره.
3- قام بحذف التعليق وانتظر لـ 20 ثانية وهي الفترة التي تلزم لحذف أي فيديو من الفيسبوك.
4- تم حذف الفيديو بنجاح.

الصور التالية توضيح الأوامر على خدمة GraphAPI التي قام بتطبيقها.