В социальной сети Facebook найдена новая уязвимость, позволяющая несанкционированно удалять друзей из профиля того или иного пользователя. Впервые о наличии данной уязвимости появились данные на ресурсе ProminentSecurity.com, однако уже через несколько часов сведения о наличии бага в программном коде подтвердили и несколько крупных исследовательских ИТ-проектов.

По состоянию на утро субботы, администрация Facebook не закрыла проблему и техническое удаление друзей из профилей пользователей было по-прежнему возможно. Независимые эксперты отмечают, что потенциальные хакеры могут объединять данную атаку с возможностями по рассылке спама или даже сетевого червя, который теоретически может рассылать свой код по контакт-листам пользователей.

Стивен Эббагнаро, первым сообщивший о наличии проблемы, говорит, что ему удалось создать концептуальный код, который удаляет друзей из публично доступного контакт-листа пользователя Facebook. "Единственная сложность при реализации атаки заключается в том, что пользователь должен войти в сеть, а потом нажать на вредоносную ссылку и после этого его список контактов будет очищен", - пишет Эббагнаро.

Ранее ИТ-интегратор Alert Logic опубликовал данные, в которых предупреждал, что Facebook не проверяет код, который внутри сети переправляется пользователям, более того, некоторые изменения можно внести без авторизации и подтверждения.

Частично новая атака базируется на данной информации. Эксперты говорят, что трюк с очищением списка друзей - это типичный пример XSS-атаки, вызванный неверной программной реализацией серверной части Facebook. В начале недели в Facebook признали наличие ряда проблем в коде, но заявили, что они не носят слишком серьезный характер. Facebook признала наличие проблемы, связанной с возможностью накрутки популярности страниц через нагон кликов Like.

Более подробные данные об уязвимости доступны по адресу http://prominentsecurity.com/?p=119.