Επιδιορθώθηκε ευπάθεια στο Instagram που επέτρεπε την έκθεση ιδιωτικών φωτογραφιών

Ο white hat hacker Christian Lopez Martin, εντόπισε μια ευπάθεια στο δημοφιλές κοινωνικό δίκτυο του Instagram, που θα μπορούσε να αξιοποιηθεί από επιτιθέμενους για την τροποποίηση των ρυθμίσεων απορρήτου οποιουδήποτε λογαριασμού, με σκοπό την μετατροπή ιδιωτικών φωτογραφιών σε δημόσιες, ή την μετατροπή δημοφιλών σελίδων σε ιδιωτικές.

Τέτοιου τύπου επιθέσεις πραγματοποιούνται μέσω κακόβουλων σύνδεσμων phishing, που εκμεταλλεύονται ευπάθειες τύπου Cross-site request forgery (CSRF).

Μια παρόμοια ευπάθεια εντοπίστηκε και στην mobile εφαρμογή του από τον ερευνητή Christian Lopez Martin.

“Μια επιτυχημένη εκμετάλλευση της ευπάθειας CSRF θα μπορούσε να διακυβεύσει τα δεδομένα οποιουδήποτε χρήστη (φωτογραφίες και προσωπικές πληροφορίες), κάνοντας δημόσιο το προφίλ του στο Instagram” δήλωσε ο Martin σε ένα blog post.

“Είναι σημαντικό να αναφέρουμε ότι η ευπάθεια ήταν απόλυτα εκμεταλλεύσιμη σε ένα πραγματικό σενάριο, καθώς το Instagram δεν είχε λάβει τα απαραίτητα μέτρα προστασίας για την πρόληψη  τέτοιου τύπου επιθέσεων”.  Ο ερευνητής ενημέρωσε το Facebook, το οποίο έχει εξαγοράσει το Instagram, τον Αύγουστο, και η πρώτη προσπάθεια επιδιόρθωσης της ευπάθειας πραγματοποιήθηκε από το κοινωνικό δίκτυο τον Σεπτέμβριο.

Ο χάκερ κατάφερε ωστόσο να παρακάμψει το πρώτο patch που εκδόθηκε από το Facebook για την αντιμετώπιση της ευπάθειας, και το ελάττωμα στο Instagram έκλεισε τελικά την περασμένη εβδομάδα.

Ο Martin έχει ανακαλύψει σημαντικά κενά ασφάλειας σε ιστοσελίδες και εφαρμογές μεγάλων εταιρειών, όπως Apple, Google, Ebay και Microsoft.  http://www.secnews.gr/