Inzwischen gepatchte Facebook-Lücke ermöglichte Kontodiebstahl

Ein Sicherheitsforscher berichtet über eine Lücke auf Facebook, mit der mit geringem Aufwand ein beliebiges fremdes Konto gestohlen werden konnte. Die Schwachstelle ist inzwischen gepatcht, und ihr Entdecker Anand Prakash hat 15.000 Dollar Belohnung erhalten.

Um sie auszunutzen, war keine Interaktion durch den Kontoinhaber nötig. Der Forscher konnte auf alle Daten eines Kontos zugreifen, einschließlich aller Nachrichten, Fotos, Videos und eventuell gespeicherter Kreditkartendaten.

In einem Blogbeitrag erklärt Prakash, dass in manchen öffentlich zugänglichen Versionen von Facebook Fremde die Zugangsdaten eines Kontos zurücksetzen konnten, ohne dass der Inhaber davon erfuhr. Facebook verschickt nämlich per E-Mail oder SMS einen sechsstelligen Zugangscode an den Besitzer eines Kontos, wenn er (oder eben ein Fremder) meldet, sein Passwort verloren zu haben.

Versuche, die Abfrage dieses Codes per Brute-Force zu umgehen, unterbindet Facebooks normale Website nach zehn bis zwölf Versuchen. Anders sieht es auf seinen Sites beta.facebook.com und mbasic.beta.facebook.com aus. Dort konnte sich der Forscher Zugang zu regulären Konten verschaffen, indem ein Skript einfach mögliche Cocdes durchprobierte. Um im legalen Bereich zu bleiben, griff Prakash auf diese Weise ein eigenes Konto an.

Facebook informierte er am 22. Februar über die Schwachstelle. Es reagierte schnell und stopfte das Leck, da jeder Hobby-Angreifer diese kritische Schwachstelle hätte nutzen können. In einem Video des Entdeckers kann man den Angriff aber noch nachvollziehen.

Facebook hatte vor fünf Jahren ein Sicherheitsprogramm ins Leben gerufen, in dessen Rahmen es Finder von Sicherheitslücken in seinen Sites und Apps belohnt. 2015 schüttete es 936.000 Dollar an 210 Sicherheitsforscher aus, die 526 berechtigte Fehlermeldungen einreichten. Das waren rund 300.000 Dollar weniger als 2014. Ein Facebook-Entwickler kommentierte, man werde besser darin, übliche Fehler von Webanwendungen zu verhindern, etwa Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).

Ungefähr konstant geblieben ist die Höhe der durchschnittlichen Prämie, die 2015 1780 Dollar betrug. Sie ist von den Konsequenzen abhängig, die eine Lücke haben könnte, und nicht von der Schwierigkeit, sie zu entdeckten, wie der aktuelle Fall illustriert.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.