Inzwischen gepatchte Facebook-Lücke ermöglichte Kontodiebstahl

Auf öffentlich zugänglichen Testservern fehlte schlicht eine Absicherung gegen Brute-Force-Angriffe. Fremde konnten beliebige Konten zurücksetzen und per Skript sechsstellige Codes durchprobieren. Facebook verschickt diese Codes üblicherweise per E-Mail oder SMS.

Ein Sicherheitsforscher berichtet über eine Lücke auf Facebook, mit der mit geringem Aufwand ein beliebiges fremdes Konto gestohlen werden konnte. Die Schwachstelle ist inzwischen gepatcht, und ihr Entdecker Anand Prakash hat 15.000 Dollar Belohnung erhalten.

Facebook (Bild: Facebook)Um sie auszunutzen, war keine Interaktion durch den Kontoinhaber nötig. Der Forscher konnte auf alle Daten eines Kontos zugreifen, einschließlich aller Nachrichten, Fotos, Videos und eventuell gespeicherter Kreditkartendaten.

In einem Blogbeitrag erklärt Prakash, dass in manchen öffentlich zugänglichen Versionen von Facebook Fremde die Zugangsdaten eines Kontos zurücksetzen konnten, ohne dass der Inhaber davon erfuhr. Facebook verschickt nämlich per E-Mail oder SMS einen sechsstelligen Zugangscode an den Besitzer eines Kontos, wenn er (oder eben ein Fremder) meldet, sein Passwort verloren zu haben.

Versuche, die Abfrage dieses Codes per Brute-Force zu umgehen, unterbindet Facebooks normale Website nach zehn bis zwölf Versuchen. Anders sieht es auf seinen Sites beta.facebook.com und mbasic.beta.facebook.com aus. Dort konnte sich der Forscher Zugang zu regulären Konten verschaffen, indem ein Skript einfach mögliche Cocdes durchprobierte. Um im legalen Bereich zu bleiben, griff Prakash auf diese Weise ein eigenes Konto an.

WEBINAR

Wie KMUs durch den Einsatz von Virtualisierung Kosten sparen und die Effizienz steigern

Das Webinar “Wie KMUs durch den Einsatz von Virtualisierung Kosten sparen und die Effizienz steigern” informiert Sie über die Vorteile von Virtualisierung und skizziert die technischen Grundlagen, die für eine erfolgreiche Implementierung nötig sind. Jetzt registrieren und Aufzeichnung ansehen.

Facebook informierte er am 22. Februar über die Schwachstelle. Es reagierte schnell und stopfte das Leck, da jeder Hobby-Angreifer diese kritische Schwachstelle hätte nutzen können. In einem Video des Entdeckers kann man den Angriff aber noch nachvollziehen.

Facebook hatte vor fünf Jahren ein Sicherheitsprogramm ins Leben gerufen, in dessen Rahmen es Finder von Sicherheitslücken in seinen Sites und Apps belohnt. 2015 schüttete es 936.000 Dollar an 210 Sicherheitsforscher aus, die 526 berechtigte Fehlermeldungen einreichten. Das waren rund 300.000 Dollar weniger als 2014. Ein Facebook-Entwickler kommentierte, man werde besser darin, übliche Fehler von Webanwendungen zu verhindern, etwa Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).

Ungefähr konstant geblieben ist die Höhe der durchschnittlichen Prämie, die 2015 1780 Dollar betrug. Sie ist von den Konsequenzen abhängig, die eine Lücke haben könnte, und nicht von der Schwierigkeit, sie zu entdeckten, wie der aktuelle Fall illustriert.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Facebook, Security, Sicherheit, Soziale Netze

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Florian Kalenda
Autor: Florian Kalenda
Leitender Redakteur ZDNet.de
Florian Kalenda
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Inzwischen gepatchte Facebook-Lücke ermöglichte Kontodiebstahl

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *