Meta ha corretto una vulnerabilità in Facebook che avrebbe potuto consentire a un utente malintenzionato di aggirare l'autenticazione a due fattori basata su SMS (2FA).
Il bug - che ha fatto guadagnare al suo rilevatore una taglia di $ 27.200 - ha fatto questo facendo confermare il numero di cellulare già verificato dell'utente mirato, utilizzando il Meta Account Center in Instagram.
Meta ha offerto agli utenti la possibilità di aggiungere la propria e-mail e il proprio numero di telefono sia al proprio account Instagram che a quello Facebook collegato, che possono essere verificati tramite un codice a sei cifre inviato via e-mail o SMS.
Tuttavia, è possibile immettere sei cifre casuali e intercettare la richiesta utilizzando un proxy Web come Burp Suite.
L'endpoint che verifica il codice era vulnerabile alla mancanza di protezione del limite di velocità, afferma Manoj Gautam, ricercatore di sicurezza con sede a Kathmandu, che ha trovato il bug.
"
Poiché non esisteva alcuna protezione del limite di velocità durante la verifica di qualsiasi punto di contatto - e-mail o telefono - un hacker conoscendo solo il numero di telefono, potrebbe aggiungere il numero di telefono abilitato 2FA della vittima nel suo account Facebook collegato a Instagram", dice Gautam.