Facebook Abuse of Functionality of Lint for anonymous port scan and DoS attacks
Abuso de la funcionalidad Lint de Facebook para escaneo de puertos anónimo y ataques de denegación de servicio.
Background
La aplicación Facebook URL Lint permite conexiones HTTP para capturar e interpretar datos web. Las peticiones se envían desde los servidores de Facebook y no requieren autenticación previa.
Description
Al especificar el puerto de destino de las conexiones HTTP y evaluar la respuesta se puede analizar cualquier petición: si el puerto está abierto, la respuesta es "Bad Protocol", y si no responde, "Internal Error". También es posible abusar de las peticiones para realizar ataques de denegación de servicio de forma anónima.
Business impact
Escaneo de puertos y denegación de servicio desde la infraestructura de Facebook, suplantando sus direcciones IP.
Systems affected
Otras aplicaciones de Facebook que realizan consultas HTTP mediante la API de Facebook pueden verse afectadas por este abuso.
Solution
Exigir un usuario autenticado, exigir captchas, restringir las consultas según la fecha de registro y el uso de la cuenta de usuario y unificar los mensajes de error o no mostrarlos.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.