Facebook Fizz xavfli zaiflikni tuzatmoqda
Facebookning TLS 1.3 protokolini joriy etishdagi zaiflik veb-xizmatlarning ishlamay qolishiga olib kelishi mumkin.
Facebookning TLS 1.3 protokolining ochiq kodli amalga oshirishida xavfli DoS zaifligi tuzatildi. Ushbu zaiflikdan foydalanib, tajovuzkor cheksiz tsiklni keltirib chiqarishi mumkin, natijada zaif protokol amalga oshirishdan foydalanadigan veb-xizmatlarning ishlamay qolishiga olib keladi. Semmle kompaniyasining xavfsizlik bo’yicha tadqiqotchisi Kevin Backhouse Facebook Fizz loyihasida zaiflikni (CVE-2019-3560) aniqladi. Ushbu loyiha Facebookning o’z infratuzilmasida TLS 1.3 protokoli (ya’ni HTTP o’rniga HTTPS) yordamida veb-xizmatlarga xavfsiz ulanishni ta’minlash uchun ishlatiladi. Facebook Fizz o’tgan yilning avgust oyida ommaga taqdim etildi.
Semmle xavfsizlik bo’yicha maslahatiga ko’ra, masofadan turib, ruxsatsiz hujumchi Fizz ishlaydigan har qanday serverga zararli TCP xabarini yuborish orqali zaiflikdan nisbatan osonlikcha foydalanishi mumkin. Muammo 16 bitli imzosiz butun sonda butun sonning toshib ketishi bilan bog’liq bo’lib, cheksiz tsikl va xizmat ko’rsatishning rad etilishiga olib keladi.
Backhouse ma’lumotlariga ko’ra, Fizz C++ tilida yozilganligi sababli, eski C loyihalarida keng tarqalgan bufer toshib ketish zaifliklari unga ta’sir qilishi ehtimoldan yiroq. Shuning uchun tadqiqotchi butun son toshib ketish zaifliklarini qidirishni boshladi va uning qidiruvi muvaffaqiyatli bo’ldi.
Shuni ta’kidlash kerakki, bu zaiflik tajovuzkorga faqat xizmatlarni buzishga imkon beradi, foydalanuvchi ma’lumotlari yoki kontentiga kirishga imkon bermaydi. Muammo Fizz 2019.02.25.00 va undan keyingi versiyalarida hal qilindi. Facebook ham o’z implementatsiyasida uni yamoqladi.
