全球資安知名廠商Check Point於日前揭露了關於在Facebook Messenger線上和手機應用程式中發現漏洞的詳細資訊。在Check Point揭露之後，Facebook迅速修復了漏洞。
此安全漏洞允許惡意攻擊者修改Facebook Online Chat與Messenger應用程式中的聊天記錄。通過該漏洞，可修改或刪除發送的任何訊息、照片、檔案、連結等。
該漏洞由Check Point在本月初向Facebook安全小組完全揭露。Facebook立即回應，經過共同努力，漏洞已被修復。
該漏洞有什麼潛在威脅？
利用該漏洞，可觸發多個潛在攻擊威脅。由於Facebook在全球日常活動中的重要性，這些威脅可能對用戶造成嚴重影響。許多用戶使用Facebook進行個人和業務的連絡，這使此類漏洞對惡意攻擊者更具有吸引力。
惡意攻擊者可用為欺詐的一部分篡改聊天記錄。惡意攻擊者會修改聊天記錄，聲稱他已與受害者達成一致，或只是修改其訊息。
第二是可能影響正在進行的法律調查。Facebook聊天記錄被允許在全球法庭上作為證據。惡意攻擊者可能隱藏犯罪證據，甚至牽連無辜的人。
該漏洞可作為一種惡意軟體發布方式。惡意攻擊者可將合法連結或檔案變成惡意的，並輕鬆說服用戶打開它。隨後，惡意攻擊者可利用這種方法來更新連結，以包含最新C&C位址，更新釣魚方案。
全面技術分析
Check Point安全研究員Roman Zaikin發現了漏洞。利用該漏洞，惡意攻擊者可控制Facebook聊天訊息，並根據其需求調整訊息，包括刪除訊息及替換內文、連結和檔案。Facebook聊天應用程式（包括線上和手機）中的每條訊息都有自己的識別字「message_id」參數。在發起惡意攻擊時，惡意攻擊者可通過代理儲存該請求，包括識別字。
先發送到連結的請求www.facebook.com/ajax/mercury/send_message.php，惡意攻擊者可向www.facebook.com/ajax/mercury/thread_info.php發送請求，以獲得「message_id」。一旦惡意攻擊者發現訊息ID，他就可修改訊息內容，並發送到Facebook伺服器。在內容修改時，不會向使用者電腦或手機發送任何訊息。