Bitter: Facebook hat Bildsicherheitslücke in ImageMagick 5 Monate lang nicht repariert

Facebook (Bild: Facebook)

Facebook hat eine fünf Monate alte Sicherheitslücke nicht geschlossen und dann auch noch einem Forscher 40.000 US-Dollar bezahlt, weil er sie danach anmerkte. Das Geld hätte sich Facebook sparen können.

Andrey Leonov hat bei Facebook eine fünf Monate alte Sicherheitslücke moniert. Dabei handelte es sich um ein Problem mit dem Softwarepaket ImageMagick, das auf den Webservern von Facebook eingesetzt wird.

Die Sicherheitslücke war damals schon fünf Monate alt, so dass Facebook eigentlich davon hätte wissen müssen.

Angreifer konnten die Anfälligkeit ausnutzen, indem sie bösartig präparierte Bilder zu Webanwendungen hochluden, die die ImageMagick-Bibliothek für ihre Verarbeitung nutzten. In der Folgezeit nahmen Angriffe über die ImageMagick-Lücke zu, was kaum erstaunlich war, da die Software auf Millionen von Webservern zum Einsatz kommt. Yahoo entlohnte noch im selben Monat mit einer Prämie von 2000 Dollar einen Sicherheitsforscher für seinen Hinweis auf die ausnutzbare ImageMagick-Lücke. Kleine wie größere Websites beeilten sich, schnellstens einen Patch einzuspielen und die Gefahr zu bannen – nur eben Facebook nicht.

Leonov konnte die bei Facebook noch im Oktober vorhandene Lücke belegen, indem er dessen Firewall mit dort nicht blockierten DNS-Anfragen umging. Heute freut er sich, „dass ich derjenige bin, der Facebook geknackt hat“. Den vollständigen Proof-of-Concept will er jedoch weiterhin nicht veröffentlichen.

Nach seinem Hinweis am 16. Oktober reagierte Facebook dann doch ziemlich schnell. Am 18. Oktober bestätigte ein Mitglied des Sicherheitsteams die Schwachstelle, und einen Tag später war sie schließlich behoben. Am 28. Oktober wurde dem White-Hat-Hacker die Prämie von 40.000 Dollar zugesagt, deren Zahlung am 4. November erfolgte.

Tags :Quellen:Mit Material von Bernd Kling, ZDNet.de
    1. Da dein ganzer Kommentar aus einem Wort besteht gehe ich davon aus das du das Lebensmittel Quark meinst. Sonst hättest du uns sicherlich einen Kontext zu deinem Quark dazu gegeben :)

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising