Un utente di Github ha scoperto una falla di sicurezza nell’applicazione di Instagram per iPhone.
Un utente di Github ha pubblicato nuove informazioni in merito ad una falla di sicurezza presente nell’applicazione ufficiale di Instagram per iPhone, che potrebbe permettere a software di terze parti di ottenere accesso ad un account sul social network. Tali dettagli sono stati pubblicati da Steve Graham, che ha affermato che “Instagram esegue delle chiamate API a endpoint non-HTTPS con sessioni d cookie negli header delle richieste, permettendo una completa compromissione della sessione da parte di potenziali malintenzionati.”
Graham ha delineato i passaggi per riprodurre l’errore in questione, sottolineando come sia stato in grado di compromettere una sessione sul proprio account mentre qualcun altro utilizzava l’app di Instagram sul suo iPhone. E’ importante comunque notare come l’account possa essere compromesso soltanto nel caso l’eventuale malintenzionato si trovi sulla medesima rete Wi-Fi con criptazione WEP durante l’uso dell’app, ma second Graham rimane comunque una falla non trascurabile:
Credo che l’attacco sia incredibilmente grave. Permette infatti una compromissione completa e può essere automatizzato con facilità. Potrei andare domani all’Appl Store e compromettere migliaia di account in un giorno, utilizzandoli per spam.
Graham ha ammesso di aver comunque informato Facebook del problema, ottenendo una risposta poco positiva vista l’entità della falla:
Ho seguito la procedura richiesta da FB. Facebook ha risposto dicendo di essere al corrente del problema, chiudendo il ticket.
La speranza è che Facebook possa intervenire rapidamente con una soluzione.
Fonte: AppAdvice