Pesquisadores de segurança descobriram uma vulnerabilidade do tipo Cross Site Request Forgery (CSRF) que permite a conexão indevida a uma conta de usuários do Facebook por meio de uma conta Oculus, vinculada ao headset de realidade virtual da empresa. Essa ligação pode, então, ser usada para extrair meios de acesso da vítima e dominar seu perfil.
“O Oculus Rift permite aos usuários conectar suas contas do Facebook para uma experiência mais ‘social’”, escreveu o consultor de segurança na web Josip Franjkovic em sua pesquisa. “Isso pode ser feito usando o aplicativo Windows Oculus nativo e utilizando navegadores”.
Roubo de contas e mudança de senhas
Por meio desse processo, é possível, então, alterar o número de telefone vinculado ao perfil e mudar a senha
A pesquisa do especialista mostra com detalhes como é possível invadir uma conta do Facebook fazendo uso do token de acesso da vítima. Por meio desse processo, é possível, então, alterar o número de telefone vinculado ao perfil e mudar a senha. A empresa já está desenvolvendo patches para impedir esse tipo de conexão usando o Oculus Rift, mas o pesquisador ainda encontrou outras falhas que permitiam driblar a primeira solução para o problema.
“A correção foi implementar uma verificação CSRF no /account_receivable/endpoint, e adicionar um clique adicional para confirmar o link entre as contas do Facebook e Oculus”, escreveu Franjkovic. “Eu acredito que isso vá solucionar corretamente a vulnerabilidade sem comprometer muito a experiência do usuário”.
Fontes
