Facebook hat einem Sicherheitsforscher eine Prämie von 40.000 Dollar für die Enthüllung einer kritischen Sicherheitslücke bezahlt. Das hätte sich das Social Network allerdings sparen können, denn es handelte sich um eine schon seit fünf Monaten bekannte Schwachstelle, für deren Behebung das eigene Sicherheitsteam also reichlich Zeit gehabt hätte.

Angreifer konnten die Anfälligkeit ausnutzen, indem sie bösartig präparierte Bilder zu Webanwendungen hochluden, die die ImageMagick-Bibliothek für ihre Verarbeitung nutzten. In der Folgezeit nahmen Angriffe über die ImageMagick-Lücke zu, was kaum erstaunlich war, da die Software auf Millionen von Webservern zum Einsatz kommt. Yahoo entlohnte noch im selben Monat mit einer Prämie von 2000 Dollar einen Sicherheitsforscher für seinen Hinweis auf die ausnutzbare ImageMagick-Lücke. Kleine wie größere Websites beeilten sich, schnellstens einen Patch einzuspielen und die Gefahr zu bannen – nur eben Facebook nicht.

Leonov konnte die bei Facebook noch im Oktober vorhandene Lücke belegen, indem er dessen Firewall mit dort nicht blockierten DNS-Anfragen umging. Heute freut er sich, „dass ich derjenige bin, der Facebook geknackt hat“. Den vollständigen Proof-of-Concept will er jedoch weiterhin nicht veröffentlichen.

(Quelle: ZDNet)


Schützen Sie sich mithilfe von Sophos Central Antivirus.