Fehler in Youtube ermöglichte Löschen beliebiger Videos

Ein Entwickler namens Kamil Hismatullin berichtet in einem Blogbeitrag vom 31. März, im Google-Webdienst Youtube Creator Studio auf eine besonders eindrückliche Lücke gestoßen zu sein. Mit einer einfachen Anfrage konnte er beliebige Youtube-Videos löschen – nicht nur die eigenen.

Hismatullin stellte durch Experimentieren fest, dass er als event_id die laufende Nummer eines beliebigen Videos angeben konnte. Er hat das Verfahren auch in einem Video – natürlich ebenfalls auf Youtube – dokumentiert. Wie er scherzhaft schreibt, war er in Versuchung, sämtliche Videos von und mit dem kanadischen Musiker Justin Bieber zu löschen.

Statt einer solchen Löschaktion entschloss er sich letztlich aber, Google im Rahmen des Bug-Reporting-Programms „Vulnerability Research Grants“ zu kontaktieren. Tatsächlich wurde der Fehler noch am selben Tag behoben. Hismatullin erhielt 5000 Dollar – die Höchstsumme, die im Rahmen dieses Programms an Entdecker von Schwachstellen in Google-Diensten vergeben wird.

Der Entwickler verbrachte nach eigenen Angaben etwa sechs oder sieben Stunden mit der Suche nach Lücken, bevor er auf den logischen Fehler in Googles Dienst stieß. Er meldet Google regelmäßig Lücken.

Ein vergleichbar schwerer Fehler war im September 2013 bei Facebook entdeckt worden: Er steckte im Support-Dashboard-System und ermöglichte das Löschen beliebiger Fotos. Ähnlich wie jetzt bei Google konnten Angreifer selbst Links erstellen, die in einem erfolgreichen Löschvorgang resultierten.

Das Support Dashboard wird benutzt, um das Löschen von Fotos zu beantragen, die beispielsweise Rechte anderer verletzen. Dem Entdecker der Schwachstelle, dem indischen Sicherheitsforscher Arul Kumar, zahlte Facebook eine Belohnung von 12.500 Dollar.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.