La integraci\u00f3n de Facebook con los cascos de realidad virtual Oculus podr\u00edan haber abierto las puertas para que los atacantes malintencionados secuestraran cuentas mediante la explotaci\u00f3n de esta \u00faltima si el gigante de las redes sociales no hubiera solucionado las vulnerabilidades.<\/p>\n\n\n\n
Oculus, mejor conocido por sus cascos Oculus Rift de realidad virtual (VR), fue fundado en 2012. En marzo de 2014, Facebook anunci\u00f3 que adquirir\u00eda Oculus VR, la operaci\u00f3n se complet\u00f3 en julio de 2014. En agosto de 2014, Facebook incluy\u00f3 Oculus Rift en su programa de recompensa de errores para hackers \u201cwhite hat\u201d y ofrec\u00eda dinero a los investigadores por informar de errores. Desde entonces, se han encontrado varias vulnerabilidades en los servicios de Oculus, que incluyen una serie de fallas que le valieron a un investigador $25,000.<\/p>\n\n\n\n
En octubre del a\u00f1o pasado, Josip Franjkovic, un consultor de seguridad web, decidi\u00f3 examinar la aplicaci\u00f3n Oculus para Windows<\/strong>, que permite a los usuarios conectar sus cuentas de Facebook para una experiencia m\u00e1s social mediante el uso de la aplicaci\u00f3n nativa Windows Oculus y navegadores.<\/p>\n\n\n\n En su investigaci\u00f3n, Franjkovic demostr\u00f3 c\u00f3mo un atacante podr\u00eda secuestrar cuentas de Facebook utilizando consultas GraphQL<\/strong> especialmente dise\u00f1adas para conectar la cuenta de Facebook de la v\u00edctima con la cuenta Oculus del atacante y obtener el access_token<\/em> de la v\u00edctima, que tambi\u00e9n tiene acceso al punto final GraphQL de Facebook. Mediante el uso de consultas GraphQL especialmente dise\u00f1adas, el atacante puede tomar el control de la cuenta de Facebook de la v\u00edctima, cambiar el n\u00famero de tel\u00e9fono y luego restablecer la contrase\u00f1a de la cuenta.<\/p>\n\n\n\n Franjkovic inform\u00f3 sobre la vulnerabilidad a Facebook el 24 de octubre bajo el programa de recompensas de errores de la compa\u00f1\u00eda para el cual se realiz\u00f3 una reparaci\u00f3n temporal en el mismo d\u00eda que involucraba la desactivaci\u00f3n del punto<\/em> final facebook_login_sso<\/em>. Adem\u00e1s, Facebook lanz\u00f3 un parche permanente el 30 de octubre.<\/p>\n\n\n\n Sin embargo, Franjkovic descubri\u00f3 una vulnerabilidad de inicio de sesi\u00f3n de CSRF (falsificaci\u00f3n de petici\u00f3n en sitios cruzados) unas semanas m\u00e1s tarde que podr\u00eda haber sido utilizada para aprovechar el parche de Facebook redirigiendo a la v\u00edctima a una URL de Oculus que el atacante haya elegido.<\/p>\n\n\n\n Franjkovic inform\u00f3 el segundo error en Facebook el 18 de noviembre, por el cual se realiz\u00f3 una reparaci\u00f3n temporal el mismo d\u00eda al deshabilitar nuevamente el punto final facebook_login_sso<\/em>. Tres semanas despu\u00e9s, la compa\u00f1\u00eda lanz\u00f3 un parche completo.<\/p>\n\n\n\n