Facebook n'a pas particulièrement bonne réputation au niveau de la sécurité, et en ce moment Java non plus. Or voilà que la premier a été contaminé par un exploit d'une faille 0-day dans le second.

C'est ce que nous apprend le réseau social dans un billet de blog.

Des employés de Facebook ont visité la version mobile du site d'un développeur, qui était infecté par un malware. Ce malware utilisait une vulnérabilité dans Java permettant de contourner la sandbox et d'infecter ainsi les machines des visiteurs, c'est-à-dire infecter au final des machines dans les locaux de Facebook.

Les techniciens en sécurité de Facebook se sont rendus compte de l'affaire en constatant la présence d'un domaine suspect dans leurs logs DNS, ce qui leur a permis de remonter aux machines infectées.

Facebook a alors contacté Oracle qui a reconnu la vulnérabilité et l'a corrigée. Le correctif faisait partie du patch du 1er février. Il s'agissait d'une faille 0-day (exploitée donc) dont personne n'a eu connaissance avant la publication du billet de blog de Facebook.

Facebook assure n'avoir trouvé aucune preuve de la compromission des données utilisateurs.