Abo
  • Services:

Bug Bounty: Facebook zahlt 40.000 US-Dollar für Imagetragick-Bug

Facebook war auch Monate nach Entdeckung von Imagetragick für den Bug anfällig. Das Team reagierte aber schnell und patchte den Bug.

Artikel veröffentlicht am ,
Facebook zahlte 40.000 US-Dollar für einen Imagetragick.
Facebook zahlte 40.000 US-Dollar für einen Imagetragick. (Bild: Thierry Roge/Reuters)

Der Sicherheitsforscher Andrey Leonov hat 40.000 US-Dollar für die Entdeckung eines Bugs in der Software des sozialen Netzwerks bekommen. Facebook war für die Imagetragick-Schwachstelle (CVE-2016-3714) anfällig, die es ermöglicht, über präparierte Bilder Code in einen Webserver einzuschleusen und zur Ausführung zu bringen.

Stellenmarkt
  1. Bosch Gruppe, Wernau (Neckar)
  2. Stiegelmeyer GmbH & Co. KG, Herford

Facebook war offenbar im vergangenen Herbst auch fünf Monate nach Bekanntwerden der Sicherheitslücke noch dafür verwundbar. Leonov wurde offenbar eher zufällig auf den Bug aufmerksam. Während er einen anderen großen Onlinedienst testete, leitete ihn ein Redirect auf Facebook um und er probierte verschiedene Angriffsszenarien durch.

Server Side Request Forgery

Mit dem Upload eines präparierten Bildes im SVG-Format gelang es ihm schließlich, eine Anfrage des Servers zu provozieren (Server Side Request Forgery, SSRF). Da die Firewall normale Zugriffe blockiert, nutzte Leonov stattdessen DNS-Anfragen, die von Facebooks Firewall offensichtlich nicht gefiltert wurden.

Leonov schickte im vergangenen Oktober einen Proof of Concept an Facebooks Sicherheitsteam, das innerhalb von zwei Tagen reagierte und den Fehler behoben hat. Der Bounty wurde über das Portal Bugcrowd ausgezahlt. Den Exploit selbst veröffentlichte Leonov nicht.

Der Imagetragick-Bug war im vergangenen Mai von Nikolay Ermishkin gefunden worden. Bei mehr als 200 Bildformaten war es möglich, über Bilder Shellcode in Server zu injizieren. Innerhalb weniger Tage wurde die Sicherheitslücke von Angreifern aktiv ausgenutzt. Einziger Schutz war zunächst, die Unterstützung für zahlreiche Bildformate zu deaktivieren, die Prüfung der Magic Bytes zu aktivieren oder die alternative Bibliothek Graphicsmagick zu nutzen.



Anzeige
Top-Angebote
  1. (aktuell u. a. Enermax T.B.Silence ADV 120 mm für 9,99€ + Versand)
  2. (u. a. Euro Truck Simulator 2 - Beyond the Baltic Sea (DLC) für 8,99€ und Fortnite - Deep Freeze...
  3. 99€ + Versand (Vergleichspreis ca. 116€ + Versand)
  4. 49,99€ (Bestpreis!)

Folgen Sie uns
       


MTG Arena Ravnica Allegiance - Livestream 2

Im zweiten Teil unseres Livestreams basteln wir ein eigenes neues Deck (dreifarbig!) und ziehen damit in den Kampf.

MTG Arena Ravnica Allegiance - Livestream 2 Video aufrufen
Asana-Gründer im Gespräch: Die Konkurrenz wird es schwer haben, zu uns aufzuschließen
Asana-Gründer im Gespräch
"Die Konkurrenz wird es schwer haben, zu uns aufzuschließen"

Asana ist aktuell recht erfolgreich im Bereich Business-Software - zahlreiche große Unternehmen arbeiten mit der Organisationssuite. Für Mitgründer Justin Rosenstein geht es aber nicht nur ums Geld, sondern auch um die Unternehmenskultur - nicht nur bei Asana selbst.
Ein Interview von Tobias Költzsch


    Begriffe, Architekturen, Produkte: Große Datenmengen in Echtzeit analysieren
    Begriffe, Architekturen, Produkte
    Große Datenmengen in Echtzeit analysieren

    Wer sich auch nur oberflächlich mit Big-Data und Echtzeit-Analyse beschäftigt, stößt schnell auf Begriffe und Lösungen, die sich nicht sofort erschließen. Warum brauche ich eine Nachrichten-Queue und was unterscheidet Apache Hadoop von Kafka? Welche Rolle spielt das in einer Kappa-Architektur?
    Von George Anadiotis


      Android-Smartphone: 10 Jahre in die Vergangenheit in 5 Tagen
      Android-Smartphone
      10 Jahre in die Vergangenheit in 5 Tagen

      Android ist erst zehn Jahre alt, doch die ersten Geräte damit sind schon Technikgeschichte. Wir haben uns mit einem Nexus One in die Zeit zurückversetzt, als Mobiltelefone noch Handys hießen und Nachrichten noch Bällchen zum Leuchten brachten.
      Ein Erfahrungsbericht von Martin Wolf

      1. Sicherheitspatches Android lässt sich per PNG-Datei übernehmen
      2. Google Auf dem Weg zu reinen 64-Bit-Android-Apps
      3. Sicherheitslücke Mit Skype Android-PIN umgehen

        •  /