Facebook-Sicherheitslücke Private Bilder anschauen leicht gemacht

Es ist offenbar möglich, sich private Bilder von wildfremden Facebook-Nutzern anzuschauen. Dazu muss deren öffentliches Profilbild einer Anleitung zufolge nur als obszön gemeldet werden. Update: Facebook hat das Problem mittlerweile beseitigt.

Anzeige

Facebook-Nutzer können Bilder anderer Nutzer als anstößig melden. Die Meldefunktion lässt sich jedoch auch dazu nutzen, um nicht öffentlich freigegebene Fotos von fremden Facebook-Nutzern anzuzeigen. Hat ein fremder Facebook-Nutzer ein öffentliches Profilbild, kann es vom Angreifer wegen Nacktheit oder Pornografie Facebook gemeldet werden - das soziale Netzwerk zeigt dann unter Umständen weitere Bilder des Nutzers an, damit weitere Vergehen einfach per Mausklick gemeldet werden können.

Das wäre nicht der Rede wert, wenn unter den angezeigten Bildern nicht auch gerade inaktive Profilbilder oder private Fotos aus dem gemeldeten Account zu sehen wären. Diese Bilder müssten gemäß der Privatsphäre-Einstellungen für Fremde ohne Freundesstatus jederzeit uneinsehbar bleiben. Stattdessen sind sie für Angreifer so sichtbar, wenn auch offenbar nicht komplett und nach einer vermutlich zufälligen Reihenfolge.

Die Sicherheitslücke wurde bereits im November 2011 entdeckt, einer der ersten Hinweise dazu findet sich im US-Forum Bodybuilder.com, das sich längst nicht mehr nur um Bodybuilding dreht. Eine bebilderte Anleitung dort macht gerade die Runde durchs Internet und verlockt derzeit so manchen Facebook-Nutzer dazu, sie auch einmal auszuprobieren. Das könnte jedoch durchaus dazu führen, dass Facebook den Missbrauch ahndet und Accounts sperrt.

Golem.de hat den Vorgang mit einem eigens angelegten Account ausprobiert - bisher ohne Erfolg. Auch ein Wechsel von einer deutschen zu einer englischen Facebook-Oberfläche brachte dabei nichts, einige der Bodybuilder.com-Nutzer wollen damit Erfolg gehabt haben. Die Sicherheitslücke soll nur bei einem Teil der Neugierigen funktionieren, heißt es auch in dem Forum. Falls eine Sicherheitslücke besteht, dürfte auch wegen der großen Aufmerksamkeit davon auszugehen sein, dass Facebook die Lücke bald beseitigt. Bis zur Entwarnung können besorgte Nutzer öffentliche Profilbilder sicherheitshalber deaktivieren.

Nachtrag vom 6. Dezember 2011, 17:37 Uhr

Der von Golem.de zur Überprüfung der Sicherheitslücke erstellte Testaccount wurde von Facebook wegen unerlaubter Inhalte gesperrt. Wir hatten gemeldet, dass ein dort zu findendes harmloses Foto einer duschenden Lego-Figur und das Plüschtier-Profilfoto anstößig seien - was von Facebook offenbar vor der Sperrung nicht näher überprüft wurde. Ein Grund mehr, solche Spielchen besser nicht mit dem eigenen Account oder mit dem von Freunden auszuprobieren.

Nachtrag vom 7. Dezember 2011, 1:44 Uhr

Facebook hat Golem.de das Problem bestätigt, es soll mittlerweile beseitigt sein. Details dazu fehlen jedoch noch.


Baron Münchhausen. 07. Dez 2011

Der Nick des Vogels steht über dem Zitat

derthorsten 07. Dez 2011

Sehr gute Signatur!

derthorsten 07. Dez 2011

Wer mal mit den unsäglichen APIs von denen zu tun hatte (ich hatte das leidliche Glück...

Vollstrecker 07. Dez 2011

Versuch es einfach nicht zu googlen! Was dort steht und zu sehen ist willst du garnicht...

Trockenobst 07. Dez 2011

heute wird stundenlang über die Probleme mit einer Plattform diskutiert, die man absolut...

Kommentieren


Eviltux. IT & Gesellschaft / 06. Dez 2011

Sicherheitslücke in Facebook



Anzeige

  1. IT-Trainee (m/w)
    Allianz Deutschland AG, Stuttgart
  2. IT-Prozess-Strategin/IT-Proz- ess-Stratege
    Landeshauptstadt München, München
  3. Netzwerkspezialist (m/w)
    Janz IT AG, Hamburg
  4. Senior Project Manager/-in BI Plattform SAP BW
    Daimler AG, Stuttgart

 

Detailsuche


Folgen Sie uns
       


  1. Kitkat-Smartphone

    Samsungs Galaxy Ace Style kommt früher

  2. Netmundial-Konferenz

    Netzaktivisten frustriert über "Farce" der Internetkontrolle

  3. Zalando

    Onlinekleiderhändler schließt einen Standort

  4. Apple vs. Samsung

    Google versprach Samsung Hilfe im Patentstreit mit Apple

  5. Deadcore

    Indiegames-Turmbesteigung für PC, Mac und Linux

  6. Reprap

    "Waschmaschinen werden auch nur 5% der Lebenszeit verwendet"

  7. Spam

    AOL bekämpft Spam mit Verschärfung der DMARC-Einstellung

  8. Mac OS X

    Sicherheitsupdate und Beta-Versionen für alle

  9. Onlinemodus

    Civ 3 und 4 sowie Borderlands ziehen um

  10. Grafikkarte

    Radeon R9 295X2 für 1.500 Euro verfügbar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Techniktagebuch auf Tumblr: "Das Scheitern ist viel interessanter"
Techniktagebuch auf Tumblr
"Das Scheitern ist viel interessanter"

Im Techniktagebuch schreiben zwei Dutzend Autoren über den Alltag mit Computern, Handys und anderen Geräten. Im Gespräch mit Golem.de erläutert die Initiatorin Kathrin Passig, warum nicht jeder Artikel eine Pointe und nicht jeder Autor ein hohe Technikkompetenz haben muss.


Radeon R9 295X2 im Test: AMDs Wassermonster für 1.000-Watt-Netzteile
Radeon R9 295X2 im Test
AMDs Wassermonster für 1.000-Watt-Netzteile

Hybridkühlung, 50 Ampere auf der 12-Volt-Schiene - AMDs neue Dual-GPU-Grafikkarte ist ein kompromissloses Monster. In gut ausgestatteten High-End-PCs läuft sie dennoch problemlos und recht leise, und das so schnell, dass auch 4K-Auflösung mit allen Details spielbar wird.

  1. Grafiktreiber von AMD Catalyst 14.4 nicht nur für 295X2 öffentlich verfügbar
  2. Globalfoundries-Kooperation mit Samsung AMDs Konsolengeschäft kompensiert schwache CPU-Sparte
  3. Nvidia Maxwell Geforce GTX 750 und GTX 750 Ti im Februar

Owncloud: Dropbox-Alternative fürs Heimnetzwerk
Owncloud
Dropbox-Alternative fürs Heimnetzwerk

Kaputte Zertifikate durch Heartbleed und der NSA-Skandal: Es gibt genügend Gründe, seinen eigenen Cloud-Speicher einzurichten. Wir erklären mit Owncloud auf einem Raspberry Pi, wie das funktioniert.


    •  / 
    Zum Artikel