Chuyên gia bảo mật Ysreal Gurt thuộc công ty BugSec and Cynet cho biết, chỉ cần mở nhầm một website chứa mã độc trong khi chat thì mọi nội dung chat mà người dùng Facebook đang trao đổi với bạn bè đều có thể bị theo dõi, tất cả dữ liệu chat gửi và nhận đều được gửi về server của hacker.
Lỗ hổng này tuy đơn giản nhưng cực kỳ nghiêm trọng, nó ảnh hưởng đến hơn 1 tỷ người dùng Facebook Messenger. Mọi cuộc hội thoại đều dễ dàng bị lấy cắp mà nạn nhân không hề hay biết. Và quan trọng đây là lỗ hổng ảnh hưởng 2 chiều, kể cả nạn nhân và bạn chat.
Đoạn mã độc này sẽ khai thác lỗ hổng “Origin-Null” bằng cách gửi 1 request đến server “{number}-edge-chat.facebook.com” với trường dữ liệu “Origin:null” khi đó server sẽ trả về gói tin với header “Access-control-allow-origin: null” và “Access-control-allow-credentials: true” cho phép truy cập dữ liệu gốc (origin) ngay cả khi dữ liệu đã được mã hoá từ trước (https).
Lỗ hổng này có thể tấn công Facebook Messeger trên cả nền website và mobile app, ngoại trừ việc sử dụng tính năng cuộc hội thoại bí mật (Secret Conversation) thì sẽ không bị ảnh hưởng. Tuy nhiên chức năng này chỉ có trên nền mobile app.
EmoticonEmoticon