ImageTragick: Schwere Sicherheitslücke wurde bei Facebook fünf Monate nicht gepatcht

Facebook hat einem Sicherheitsforscher eine Prämie von 40.000 Dollar für die Enthüllung einer kritischen Sicherheitslücke bezahlt. Das hätte sich das Social Network allerdings sparen können, denn es handelte sich um eine schon seit fünf Monaten bekannte Schwachstelle, für deren Behebung das eigene Sicherheitsteam also reichlich Zeit gehabt hätte.

Den Hergang hat Andrey Leonov jetzt in einem Blogeintrag süffisant enthüllt, nachdem auch Facebook keine Einwände mehr gegen eine Veröffentlichung hatte. Eigentlich war Andrey Leonov an einem Samstagabend im Oktober 2016 dabei gewesen, einen anderen großen Service und nicht Facebook zu testen, als ihn ein Redirect zum „Teilen auf Facebook“ aufforderte. Ihm fiel dabei aber eine seltsame Ungereimtheit hinsichtlich einer Bild-URL auf, was ihn zu einigen Versuchen veranlasste.

Seine ersten Vermutungen ließen ihn nach einem Server-Side Forgery Request (SSFR) oder möglichen XXE-Fehlern suchen, was aber keine Ergebnisse brachte. Erst zuletzt fiel ihm die Sicherheitslücke im freien Softwarepaket ImageMagick ein, das auf Webservern für die Bearbeitung und stapelweise Anpassung von Bildern eingesetzt wird. Diese schwere Lücke namens „ImageTragick“ wurde allerdings schon Anfang Mai bekannt. Schon damals wurde ein veröffentlichtes Exploit aktiv genutzt und ermöglichte Remotecodeausführung.

Angreifer konnten die Anfälligkeit ausnutzen, indem sie bösartig präparierte Bilder zu Webanwendungen hochluden, die die ImageMagick-Bibliothek für ihre Verarbeitung nutzten. In der Folgezeit nahmen Angriffe über die ImageMagick-Lücke zu, was kaum erstaunlich war, da die Software auf Millionen von Webservern zum Einsatz kommt. Yahoo entlohnte noch im selben Monat mit einer Prämie von 2000 Dollar einen Sicherheitsforscher für seinen Hinweis auf die ausnutzbare ImageMagick-Lücke. Kleine wie größere Websites beeilten sich, schnellstens einen Patch einzuspielen und die Gefahr zu bannen – nur eben Facebook nicht.

Leonov konnte die bei Facebook noch im Oktober vorhandene Lücke belegen, indem er dessen Firewall mit dort nicht blockierten DNS-Anfragen umging. Heute freut er sich, „dass ich derjenige bin, der Facebook geknackt hat“. Den vollständigen Proof-of-Concept will er jedoch weiterhin nicht veröffentlichen.

Nach seinem Hinweis am 16. Oktober reagierte Facebook dann doch ziemlich schnell. Am 18. Oktober bestätigte ein Mitglied des Sicherheitsteams die Schwachstelle, und einen Tag später war sie schließlich behoben. Am 28. Oktober wurde dem White-Hat-Hacker die Prämie von 40.000 Dollar zugesagt, deren Zahlung am 4. November erfolgte.