Der belgische Sicherheitsforscher Arne Swinnen hat im Rahmen von Facebooks Instagram Bug Bounty Program zwei kritische Sicherheitslücken entdeckt. Begünstigt durch Instagrams schwache Passwortrichtlinie war er in der Lage, per Brute Force die Passwörter von Nutzern des Bilderdiensts zu knacken. Facebook hat die Schwachstellen inzwischen geschlossen.
Der erste Fehler steckte in Instagrams mobilem Anmeldeverfahren. Mit der Sicherheitssoftware Burp konnte der Forscher mit einer IP-Adresse 1000 Passwörter für einen Nutzernamen testen, bevor er eine Fehlermeldung der mobilen Instagram-App erhielt. Allerdings lieferten nur die nächsten 1000 Versuche die Meldung „User not found“. Ab dem 2001. Versuch meldete Instagram abwechselnd, ob das Passwort richtig oder falsch ist oder erneut „User not found“.
„Das erlaubte einen zuverlässigen Brute-Force-Angriff“, schreibt Swinnen in seinem Blog. Der Angriff sei zudem durch fehlende Sicherheitsmaßnahmen wie eine standortbasierte Betrugserkennung anhand von IP-Adressen begünstigt worden. Außerdem sei Instagrams Passwortrichtlinie zu schwach und die im Februar angekündigte Anmeldung in zwei Schritten sei immer noch nicht weltweit verfügbar.
Die neuen HPE-Server der Generation 10 bieten einen erweiterten Schutz vor Cyberangriffen. Erfahren Sie in unserem Webinar, warum HPE-Server die sichersten Industrie-Standard-Server der Welt sind und wie Sie ihr Unternehmen zu mehr Agilität verhelfen. Jetzt registrieren und Aufzeichnung ansehen.
Darüber hinaus erlaubte auch das webbasierte Anmeldeverfahren Brute-Force-Angriffe. Hier analysierte Swinnen die Anfrage, die sein Browser bei der Registrierung eines Kontos an Instagram schickte, sowie die Antwort des Servers. Das erlaubte es ihm, beliebige Kombinationen aus Nutzernamen und Passwörtern an die Instagram-Server zu schicken, die schließlich jede Anfrage entweder mit einer Fehlermeldung oder der Meldung „Diese Anmeldedaten gehören zu einem aktiven Instagram-Konto“ beantworteten.
Die Bugs übermittelte Swinnen Ende Dezember beziehungsweise Anfang Februar an Facebook. Sie wurden am 11. sowie am 13. Februar behoben. Allerdings bot der Fix für die zweite Lücke keinen effektiven Schutz vor Swinnens Angriff. Ein neuer Patch wurde von Facebook schließlich am 10. Mai implementiert, den Swinnen in der vergangenen Woche bestätigte. Seine Arbeit belohnte Facebook mit einer Prämie von insgesamt 5000 Dollar.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…
Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.
2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…
Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…
NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.
Latrodectus, auch bekannt als BlackWidow, ist auch unter dem Namen LUNAR SPIDER bekannt.
