Facebook ha corregido una vulnerabilidad que permitiría a un atacante provocar una afectación por denegación de servicio o agotar el saldo en el dispositivo de un usuario al transferir una gran cantidad de datos desde y hacia el equipo.

La falla radica en la forma en la que la app de Facebook maneja las peticiones HTTP.

"La aplicación incluye como componente interno un servidor genérico de HTTP que es usado como proxy caché en el momento en que se reproducen los videos. Este servidor se encuentra mal configurado y acepta pedidos de cualquier cliente sea remoto o local. Permitie a un atacante conectarse a él y utilizar el dispositivo de la víctima como proxy abierto. Como resultado, entre otras cosas, el atacante puede llevar a cabo ataques de denegación de servicio como agotar la memoria del dispositivo o consumir datos de la red 3G o LTE sobrepasando el límite del plan de datos del usuario".

Fue descubierto por Joaquín Manuel Rinaudo, investigador de la Fundación Dr. Manuel Sadosky en Argentina, y publicado en el Boletín de Seguridad del Programa STIC de dicha fundación.

"Un atacante puede utilizar el móvil de una víctima que tenga la aplicación de Facebook instalada como proxy abierto realizando pedidos al servidor embebido por '/proxy' y pasando como parámetro una versión acortada de URL que apunte a cualquier sitio destino. Como las redirecciones son seguidas, un atacante podría usar una versión acortada de la URL destino obtenida de sitios como 'goo.gl'. También puede causar que el dispositivo agote su memoria interna realizando pedidos de '/cache-thru' y destinando como 'remote-uri' a algún sitio que contenga un archivo de gran tamaño. Lo mismo puede hacerse para consumir el plan de datos del usuario."

La actualización de Facebook también corrige otras dos vulnerabilidades en la aplicación, una que permitiría a un atacante interceptar contenido de video en algunas circunstancias y otra que podría divulgar grabaciones de audio de mensajes de chat. Esta última también afecta a Facebook Messenger para Android.

Facebook corrigió la vulnerabilidad del servidor HTTP en la versión 13.0.0.13.14 y las otras dos fallas en las versiones 10.0.0.28.27 y 5.0.0.25.1 de Facebook Messenger.