ImageTragick: Schwere Sicherheitslücke wurde bei Facebook fünf Monate nicht gepatcht

Die schwere Sicherheitslücke in der ImageMagick-Bibliothek ermöglicht Remotecodeausführung. Sie war als "ImageTragick" schon fünf Monate lang bekannt - aber von Facebook noch immer nicht behoben. Der White-Hat-Hacker erhielt für seinen Hinweis 40.000 Dollar.

Facebook hat einem Sicherheitsforscher eine Prämie von 40.000 Dollar für die Enthüllung einer kritischen Sicherheitslücke bezahlt. Das hätte sich das Social Network allerdings sparen können, denn es handelte sich um eine schon seit fünf Monaten bekannte Schwachstelle, für deren Behebung das eigene Sicherheitsteam also reichlich Zeit gehabt hätte.

ImageMagick (Bild: ImageMagick)

Den Hergang hat Andrey Leonov jetzt in einem Blogeintrag süffisant enthüllt, nachdem auch Facebook keine Einwände mehr gegen eine Veröffentlichung hatte. Eigentlich war Andrey Leonov an einem Samstagabend im Oktober 2016 dabei gewesen, einen anderen großen Service und nicht Facebook zu testen, als ihn ein Redirect zum „Teilen auf Facebook“ aufforderte. Ihm fiel dabei aber eine seltsame Ungereimtheit hinsichtlich einer Bild-URL auf, was ihn zu einigen Versuchen veranlasste.

Seine ersten Vermutungen ließen ihn nach einem Server-Side Forgery Request (SSFR) oder möglichen XXE-Fehlern suchen, was aber keine Ergebnisse brachte. Erst zuletzt fiel ihm die Sicherheitslücke im freien Softwarepaket ImageMagick ein, das auf Webservern für die Bearbeitung und stapelweise Anpassung von Bildern eingesetzt wird. Diese schwere Lücke namens „ImageTragick“ wurde allerdings schon Anfang Mai bekannt. Schon damals wurde ein veröffentlichtes Exploit aktiv genutzt und ermöglichte Remotecodeausführung.

Angreifer konnten die Anfälligkeit ausnutzen, indem sie bösartig präparierte Bilder zu Webanwendungen hochluden, die die ImageMagick-Bibliothek für ihre Verarbeitung nutzten. In der Folgezeit nahmen Angriffe über die ImageMagick-Lücke zu, was kaum erstaunlich war, da die Software auf Millionen von Webservern zum Einsatz kommt. Yahoo entlohnte noch im selben Monat mit einer Prämie von 2000 Dollar einen Sicherheitsforscher für seinen Hinweis auf die ausnutzbare ImageMagick-Lücke. Kleine wie größere Websites beeilten sich, schnellstens einen Patch einzuspielen und die Gefahr zu bannen – nur eben Facebook nicht.

Umfrage

Welchen Stellenwert hat Nachhaltigkeit für IT-Anschaffungen Ihres Unternehmens?

Ergebnisse anzeigen

Loading ... Loading ...

Leonov konnte die bei Facebook noch im Oktober vorhandene Lücke belegen, indem er dessen Firewall mit dort nicht blockierten DNS-Anfragen umging. Heute freut er sich, „dass ich derjenige bin, der Facebook geknackt hat“. Den vollständigen Proof-of-Concept will er jedoch weiterhin nicht veröffentlichen.

Nach seinem Hinweis am 16. Oktober reagierte Facebook dann doch ziemlich schnell. Am 18. Oktober bestätigte ein Mitglied des Sicherheitsteams die Schwachstelle, und einen Tag später war sie schließlich behoben. Am 28. Oktober wurde dem White-Hat-Hacker die Prämie von 40.000 Dollar zugesagt, deren Zahlung am 4. November erfolgte.

WEBINAR

SSL Best Practices: Security Beyond Certificates

Mit diesem Webinar möchten wir Sie über sämtliche Möglichkeiten informieren, die Sie für einen ausreichenden Schutz ihrer IT-Infrastruktur benötigen. Im Mittelpunkt stehen dabei bewährte SSL Best Practices.

Themenseiten: Facebook, Hacker, Server, Sicherheit, Software

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu ImageTragick: Schwere Sicherheitslücke wurde bei Facebook fünf Monate nicht gepatcht

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *