Vulnerabilidad de Facebook Messenger es Arreglada

Facebook ha arreglado una vulnerabilidad en escritorio y version móvil de Android de su aplicación Messenger que permitía a un atacante acceder y modificar los chats.

Investigadores de Check Point Software Technologies notificaron de forma privada la situación el 2 de mayo a Facebook, quien emitió parche dos semanas más tarde. La falla, dijo Check Point, permite a un atacante, entre otras cosas, acceso a historial de chat, agregar o cambiar enlaces en una sesión de chat. Si la víctima era convencida de hacer clic en lo que habia sido cambiado a un enlace malicioso, podrían iniciar una descarga de software malicioso o establecer una conexión con uno servidor de comando y control del atacante.

Check Point dijo que la víctima podría no darse cuenta de los cambios, y que los chats podían ser eliminados o modificados, así como también enlaces y archivos podían ser reemplazados o agregados; el investigador Roman Zaikin fue atribuido con el hallazgo.

Facebook, por su parte, refuta algunas de estas afirmaciones. Un representante dijo que el fallo permite a un atacante solo cambiar sus propios mensajes -no de otra persona- y esto es una condición temporal hasta que los datos de replicación son obtenidos de los servidores de Facebook. Además, los mensajes originales aun serían accesibles en otras plataformas, es decir, siempre habría un lugar donde los mensajes se reflejarían correctamente, dijo Facebook.

Check Point no opina lo mismo y de hecho hizo una prueba de concepto al respecto.

Más tarde Facebook escribiría lo siguiente:

“En la mayoría de los clientes – incluyendo iOS – Cuando se detectan mensajes duplicados, el primer mensaje tiene prioridad y se muestra tanto en el dispositivo del remitente como en el receptor”, dijo Facebook en una entrada de blog publicada ayer. “Sin embargo, una mala configuración con la aplicación Messenger en Android provocaba que se visualizara el último mensaje. Como resultado, un remitente podría escribir un mensaje y luego cambiar su contenido retroactivamente “.

Para mas informacion sobre la falla, visita la entrada de Check Point al respecto.

Leave a Reply