Ein Sicherheitsforscher berichtet über eine Lücke auf Facebook, mit der mit geringem Aufwand ein beliebiges fremdes Konto gestohlen werden konnte. Die Schwachstelle ist inzwischen gepatcht, und ihr Entdecker Anand Prakash hat 15.000 Dollar Belohnung erhalten.
In einem Blogbeitrag erklärt Prakash, dass in manchen öffentlich zugänglichen Versionen von Facebook Fremde die Zugangsdaten eines Kontos zurücksetzen konnten, ohne dass der Inhaber davon erfuhr. Facebook verschickt nämlich per E-Mail oder SMS einen sechsstelligen Zugangscode an den Besitzer eines Kontos, wenn er (oder eben ein Fremder) meldet, sein Passwort verloren zu haben.
Versuche, die Abfrage dieses Codes per Brute-Force zu umgehen, unterbindet Facebooks normale Website nach zehn bis zwölf Versuchen. Anders sieht es auf seinen Sites beta.facebook.com und mbasic.beta.facebook.com aus. Dort konnte sich der Forscher Zugang zu regulären Konten verschaffen, indem ein Skript einfach mögliche Cocdes durchprobierte. Um im legalen Bereich zu bleiben, griff Prakash auf diese Weise ein eigenes Konto an.
Das Webinar “Wie KMUs durch den Einsatz von Virtualisierung Kosten sparen und die Effizienz steigern” informiert Sie über die Vorteile von Virtualisierung und skizziert die technischen Grundlagen, die für eine erfolgreiche Implementierung nötig sind. Jetzt registrieren und Aufzeichnung ansehen.
Facebook informierte er am 22. Februar über die Schwachstelle. Es reagierte schnell und stopfte das Leck, da jeder Hobby-Angreifer diese kritische Schwachstelle hätte nutzen können. In einem Video des Entdeckers kann man den Angriff aber noch nachvollziehen.
Facebook hatte vor fünf Jahren ein Sicherheitsprogramm ins Leben gerufen, in dessen Rahmen es Finder von Sicherheitslücken in seinen Sites und Apps belohnt. 2015 schüttete es 936.000 Dollar an 210 Sicherheitsforscher aus, die 526 berechtigte Fehlermeldungen einreichten. Das waren rund 300.000 Dollar weniger als 2014. Ein Facebook-Entwickler kommentierte, man werde besser darin, übliche Fehler von Webanwendungen zu verhindern, etwa Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).
Ungefähr konstant geblieben ist die Höhe der durchschnittlichen Prämie, die 2015 1780 Dollar betrug. Sie ist von den Konsequenzen abhängig, die eine Lücke haben könnte, und nicht von der Schwierigkeit, sie zu entdeckten, wie der aktuelle Fall illustriert.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…
Das jüngste Update bringt insgesamt zwölf Fixes. Schadcode lässt sich unter Umständen ohne Interaktion mit…
Eine softwarebasierte Workstation soll es Ingenieuren erlauben, sämtliche Steuerungen zentral zu verwalten. Pilotkunde ist Ford.
Kryptodiebstahl und finanzieller Gewinn sind laut ESET-Forschungsbericht die vorrangigen neuen Ziele.