Vulnerabilidad en Facebook permite adjuntar archivos EXE

Cando se utiliza la pestaña "Mensajes" de Facebook, hay una función para adjuntar un archivo. Al utilizar esta función normalmente, Facebook no permite adjuntar un archivo ejecutable. Nathan Power de www.securitypentest.com descubrió error que permite saltear este mecanismo de seguridad, en donde además no es necesario tener que ser amigo del usuario para enviar el mensaje con el archivo adjunto.

Al cargar el archivo adjunto en Facebook capturamos a la solicitud POST que se envía al servidor web. Dentro de esta petición POST se lee la siguiente línea:

Content-Disposition: form-data; name = "archivo adjunto", filename = "cmd.exe"

En donde la varibale 'filename' contiene el nombre del archivo que se permitiría enviar o no.

Para saltear el mecanismo de seguridad y permitir subir el archivo EXE, se puede modificar la petición POST añadiendo un espacio al nombre del archivo:

filename="cmd.exe "

Resultando que el archivo es adjuntado y enviado en el mensaje:

Esta vulnerabilidad fue repotada a Facebook el 30/09 y el día de hoy ha sido publicada en Full Disclosure.

Actualización: la vulnerabilidad ya fue corregida.

Cristian de la Redacción de Segu-Info