Abo
  • Services:
Anzeige
Facebook zahlte 40.000 US-Dollar für einen Imagetragick.
Facebook zahlte 40.000 US-Dollar für einen Imagetragick. (Bild: Thierry Roge/Reuters)

Bug Bounty: Facebook zahlt 40.000 US-Dollar für Imagetragick-Bug

Facebook zahlte 40.000 US-Dollar für einen Imagetragick.
Facebook zahlte 40.000 US-Dollar für einen Imagetragick. (Bild: Thierry Roge/Reuters)

Facebook war auch Monate nach Entdeckung von Imagetragick für den Bug anfällig. Das Team reagierte aber schnell und patchte den Bug.

Der Sicherheitsforscher Andrey Leonov hat 40.000 US-Dollar für die Entdeckung eines Bugs in der Software des sozialen Netzwerks bekommen. Facebook war für die Imagetragick-Schwachstelle (CVE-2016-3714) anfällig, die es ermöglicht, über präparierte Bilder Code in einen Webserver einzuschleusen und zur Ausführung zu bringen.

Anzeige

Facebook war offenbar im vergangenen Herbst auch fünf Monate nach Bekanntwerden der Sicherheitslücke noch dafür verwundbar. Leonov wurde offenbar eher zufällig auf den Bug aufmerksam. Während er einen anderen großen Onlinedienst testete, leitete ihn ein Redirect auf Facebook um und er probierte verschiedene Angriffsszenarien durch.

Server Side Request Forgery

Mit dem Upload eines präparierten Bildes im SVG-Format gelang es ihm schließlich, eine Anfrage des Servers zu provozieren (Server Side Request Forgery, SSRF). Da die Firewall normale Zugriffe blockiert, nutzte Leonov stattdessen DNS-Anfragen, die von Facebooks Firewall offensichtlich nicht gefiltert wurden.

Leonov schickte im vergangenen Oktober einen Proof of Concept an Facebooks Sicherheitsteam, das innerhalb von zwei Tagen reagierte und den Fehler behoben hat. Der Bounty wurde über das Portal Bugcrowd ausgezahlt. Den Exploit selbst veröffentlichte Leonov nicht.

Der Imagetragick-Bug war im vergangenen Mai von Nikolay Ermishkin gefunden worden. Bei mehr als 200 Bildformaten war es möglich, über Bilder Shellcode in Server zu injizieren. Innerhalb weniger Tage wurde die Sicherheitslücke von Angreifern aktiv ausgenutzt. Einziger Schutz war zunächst, die Unterstützung für zahlreiche Bildformate zu deaktivieren, die Prüfung der Magic Bytes zu aktivieren oder die alternative Bibliothek Graphicsmagick zu nutzen.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. SICK AG, Reute bei Freiburg im Breisgau
  2. HerkulesGroup Services GmbH, Burbach
  3. symmedia GmbH, Bielefeld
  4. Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz


Anzeige
Top-Angebote
  1. mit Gutscheincode PLUSFEB (max. Rabatt 50€)
  2. zusammen nur 3,99€
  3. 699,00€

Folgen Sie uns
       


  1. Funkchip

    US-Grenzbeamte können Pass-Signaturen nicht prüfen

  2. Breko

    Telekom-Chef entschuldigt sich für Äußerungen

  3. WD20SPZX

    Auch Western Digital bringt flache 2-TByte-HDD

  4. Metal Gear Survive im Test

    Himmelfahrtskommando ohne Solid Snake

  5. Cloud IoT Core

    Googles Cloud verwaltet weltweit IoT-Anlagen

  6. Schweden

    Netzbetreiber bietet 10 GBit/s für 45 Euro

  7. Reverse Engineering

    Das Xiaomi-Ökosystem vom Hersteller befreien

  8. Fritzbox 7583

    AVM zeigt neuen Router für diverse Vectoring-Techniken

  9. Halbleiterwerk

    Samsung rüstet Fab 3 für sechs Milliarden US-Dollar auf

  10. Archos Hello

    Smarter Lautsprecher mit vollwertigem Android



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Sam's Journey im Test: Ein Kaufgrund für den C64
Sam's Journey im Test
Ein Kaufgrund für den C64
  1. THEC64 Mini C64-Emulator erscheint am 29. März in Deutschland
  2. Sam's Journey Neues Kaufspiel für C64 veröffentlicht

Age of Empires Definitive Edition Test: Trotz neuem Look zu rückständig
Age of Empires Definitive Edition Test
Trotz neuem Look zu rückständig
  1. Echtzeit-Strategie Definitive Edition von Age of Empires hat neuen Termin
  2. Matt Booty Mr. Minecraft wird neuer Spiele-Chef bei Microsoft
  3. Vorschau Spielejahr 2018 Zwischen Kuhstall und knallrümpfigen Krötern

Samsung C27HG70 im Test: Der 144-Hz-HDR-Quantum-Dot-Monitor
Samsung C27HG70 im Test
Der 144-Hz-HDR-Quantum-Dot-Monitor
  1. Volumendisplay US-Forscher lassen Projektion schweben wie in Star Wars
  2. Sieben Touchscreens Nissan Xmotion verwendet Koi als virtuellen Assistenten
  3. CJ791 Samsung stellt gekrümmten Thunderbolt-3-Monitor vor

  1. Re: Ich glaub, es hackt...

    nachgefragt | 15:43

  2. Re: Autos brauchen keinen extra Ton

    dEEkAy | 15:42

  3. Re: So So der Hersteller der Cheatengine ist also...

    Slurpee | 15:41

  4. Re: Jetzt sind Autos endlich leise

    dEEkAy | 15:40

  5. Re: Lebensmittel auf dem Land liefern..

    debattierer | 15:40


  1. 15:45

  2. 15:24

  3. 14:47

  4. 14:10

  5. 13:49

  6. 12:32

  7. 12:00

  8. 11:29


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel