Ein Sicherheitsforscher berichtet über eine Lücke auf Facebook, mit der mit geringem Aufwand ein beliebiges fremdes Konto gestohlen werden konnte. Die Schwachstelle ist inzwischen gepatcht, und ihr Entdecker Anand Prakash hat 15.000 Dollar Belohnung erhalten.
In einem Blogbeitrag erklärt Prakash, dass in manchen öffentlich zugänglichen Versionen von Facebook Fremde die Zugangsdaten eines Kontos zurücksetzen konnten, ohne dass der Inhaber davon erfuhr. Facebook verschickt nämlich per E-Mail oder SMS einen sechsstelligen Zugangscode an den Besitzer eines Kontos, wenn er (oder eben ein Fremder) meldet, sein Passwort verloren zu haben.
Versuche, die Abfrage dieses Codes per Brute-Force zu umgehen, unterbindet Facebooks normale Website nach zehn bis zwölf Versuchen. Anders sieht es auf seinen Sites beta.facebook.com und mbasic.beta.facebook.com aus. Dort konnte sich der Forscher Zugang zu regulären Konten verschaffen, indem ein Skript einfach mögliche Cocdes durchprobierte. Um im legalen Bereich zu bleiben, griff Prakash auf diese Weise ein eigenes Konto an.
Das Webinar “Wie KMUs durch den Einsatz von Virtualisierung Kosten sparen und die Effizienz steigern” informiert Sie über die Vorteile von Virtualisierung und skizziert die technischen Grundlagen, die für eine erfolgreiche Implementierung nötig sind. Jetzt registrieren und Aufzeichnung ansehen.
Facebook informierte er am 22. Februar über die Schwachstelle. Es reagierte schnell und stopfte das Leck, da jeder Hobby-Angreifer diese kritische Schwachstelle hätte nutzen können. In einem Video des Entdeckers kann man den Angriff aber noch nachvollziehen.
Facebook hatte vor fünf Jahren ein Sicherheitsprogramm ins Leben gerufen, in dessen Rahmen es Finder von Sicherheitslücken in seinen Sites und Apps belohnt. 2015 schüttete es 936.000 Dollar an 210 Sicherheitsforscher aus, die 526 berechtigte Fehlermeldungen einreichten. Das waren rund 300.000 Dollar weniger als 2014. Ein Facebook-Entwickler kommentierte, man werde besser darin, übliche Fehler von Webanwendungen zu verhindern, etwa Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).
Ungefähr konstant geblieben ist die Höhe der durchschnittlichen Prämie, die 2015 1780 Dollar betrug. Sie ist von den Konsequenzen abhängig, die eine Lücke haben könnte, und nicht von der Schwierigkeit, sie zu entdeckten, wie der aktuelle Fall illustriert.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
