El investigador de seguridad Dan Melamed descubrió una vulnerabilidad de redirección de URL abierta en Facebook, le permitió redireccionar un enlace de facebook.com hacia cualquier sitio sin restricciones.

Una falla de redirección de URL abierta es usada generalmente para convencer a los usuarios de hacer clic sobre un enlace de confianza que está especialmente diseñado para dirigirlos a un sitio aleatorio, esto podría ser usado como servidor de malware o en ataques de phishing.

Una falla de redirección de URL abierta en la plataforma de Facebook y en aplicaciones de terceros también exponen los tokens de acceso de los usuarios que estén en riesgo, si ese enlace es ingresado como destino final en un diálogo de OAuth.

La vulnerabilidad de redirección de URL abierta existe en la página landing.php con el parámetro "url", por ejemplo:

http://facebook.com/campaign/landing.php-url=http://yahoo.com

Esta URL siempre redirige al usuario a su página principal de Facebook, simplemente manipular los parámetros de la url asignando cadenas aleatorias es suficiente:

http://facebook.com/campaign/landing.php-url=asdf

En realidad la URL anterior genera una variable única “h” y pasa el parámetro de la url para Linkshim de Facebook (l.php):

http://facebook.com/campaign/landing.php-u=asdf&h=mAQHgtP_E

Una vez que tomó nota del proceso de redireccionamiento, Dan Melamed buscó la manera de explotar el mecanismo para eludir las restricciones de redirección y cargar un enlace arbitrario.

Dan descubrió que simplemente eliminar http:// del objetivo destino es suficiente para redirigir un enlace de Facebook a donde sea, sin restricciones. Por ejemplo:

http://facebook.com/campaign/landing.php-url=yahoo.com

El Linkshim de Facebook (l.php) interpreta el enlace target.com igual que http://target.com, haciendo posible la redirección.

Facebbok informó a Dan que debido a que el cambio de dirección ocurre a través del método l.php, la plataforma de la red social es capaz de aplicar un filtro adecuado para redireccionar spam automático y análisis de malware.

Es fácil entender que, a pesar de los filtros de url de Facebook, estos no pueden detectar todo el malware y spam dirigidos "y cuando un enlace está prohibido, el atacante ya ha pasado a otro enlace".

Facebook rápidamente arregló la vulnerabilidad después de que fue reportada por Dan, quién será recompensado con 1,000 dólares gracias al programa de recompensas de Facebook.

Anteriormente, él había revelado vulnerabilidades críticas de Facebook que permitían ingresar a cuentas, además de dos vulnerabilidades relacionadas con Fanpage Invite de la popular red social.