Abo
  • Services:

Bug Bounty: Facebook zahlt 40.000 US-Dollar für Imagetragick-Bug

Facebook war auch Monate nach Entdeckung von Imagetragick für den Bug anfällig. Das Team reagierte aber schnell und patchte den Bug.

Artikel veröffentlicht am ,
Facebook zahlte 40.000 US-Dollar für einen Imagetragick.
Facebook zahlte 40.000 US-Dollar für einen Imagetragick. (Bild: Thierry Roge/Reuters)

Der Sicherheitsforscher Andrey Leonov hat 40.000 US-Dollar für die Entdeckung eines Bugs in der Software des sozialen Netzwerks bekommen. Facebook war für die Imagetragick-Schwachstelle (CVE-2016-3714) anfällig, die es ermöglicht, über präparierte Bilder Code in einen Webserver einzuschleusen und zur Ausführung zu bringen.

Stellenmarkt
  1. ASK Chemicals GmbH, Hilden
  2. Continental AG, Frankfurt am Main, Wolfsburg

Facebook war offenbar im vergangenen Herbst auch fünf Monate nach Bekanntwerden der Sicherheitslücke noch dafür verwundbar. Leonov wurde offenbar eher zufällig auf den Bug aufmerksam. Während er einen anderen großen Onlinedienst testete, leitete ihn ein Redirect auf Facebook um und er probierte verschiedene Angriffsszenarien durch.

Server Side Request Forgery

Mit dem Upload eines präparierten Bildes im SVG-Format gelang es ihm schließlich, eine Anfrage des Servers zu provozieren (Server Side Request Forgery, SSRF). Da die Firewall normale Zugriffe blockiert, nutzte Leonov stattdessen DNS-Anfragen, die von Facebooks Firewall offensichtlich nicht gefiltert wurden.

Leonov schickte im vergangenen Oktober einen Proof of Concept an Facebooks Sicherheitsteam, das innerhalb von zwei Tagen reagierte und den Fehler behoben hat. Der Bounty wurde über das Portal Bugcrowd ausgezahlt. Den Exploit selbst veröffentlichte Leonov nicht.

Der Imagetragick-Bug war im vergangenen Mai von Nikolay Ermishkin gefunden worden. Bei mehr als 200 Bildformaten war es möglich, über Bilder Shellcode in Server zu injizieren. Innerhalb weniger Tage wurde die Sicherheitslücke von Angreifern aktiv ausgenutzt. Einziger Schutz war zunächst, die Unterstützung für zahlreiche Bildformate zu deaktivieren, die Prüfung der Magic Bytes zu aktivieren oder die alternative Bibliothek Graphicsmagick zu nutzen.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie
  2. 59,99€ mit Vorbesteller-Preisgarantie
  3. 31,99€
  4. 14,99€

Folgen Sie uns
       


Golem.de spielt die Battlefield 5 Closed Alpha

Zwölf Stunden haben wir in der Closed Alpha des kommenden Shooters im Zweiten Weltkrieg Battlefield 5 verbracht - Zeit für eine erste Analyse der Änderungen.

Golem.de spielt die Battlefield 5 Closed Alpha Video aufrufen
Automatisiertes Fahren: Der schwierige Weg in den selbstfahrenden Stau
Automatisiertes Fahren
Der schwierige Weg in den selbstfahrenden Stau

Der Staupilot im neuen Audi A8 soll der erste Schritt auf dem Weg zum hochautomatisierten Fahren sein. Doch die Verhandlungen darüber, was solche Autos können müssen, sind sehr kompliziert. Und die Tests stellen Audi vor große Herausforderungen.
Ein Bericht von Friedhelm Greis

  1. Autonomes Fahren Ford will lieber langsam sein
  2. Navya Mainz testet autonomen Bus am Rheinufer
  3. Drive-by-wire Schaeffler kauft Lenktechnik für autonomes Fahren

Raumfahrt: Boeing und SpaceX kämpfen mit dem Regulierungschaos der Nasa
Raumfahrt
Boeing und SpaceX kämpfen mit dem Regulierungschaos der Nasa

Die neuen Raumschiffe von Boeing und SpaceX verspäten sich und werden wohl erst 2020 mit Crew fliegen. Die Aufsichtsbehörde der US-Regierung sieht einen Teil der Schuld beim Chaos im Nasa-Management.
Von Frank Wunderlich-Pfeiffer

  1. Parker Solar Probe Sonnen-Sonde der Nasa erfolgreich gestartet
  2. Parker Solar Probe Nasa verschiebt Start seiner Sonnen-Sonde
  3. Raumfahrt Die neuen Astronauten für SpaceX und Boeing

Matebook X Pro im Test: Huaweis zweites Notebook ist klasse
Matebook X Pro im Test
Huaweis zweites Notebook ist klasse

Mit dem Matebook X Pro veröffentlicht Huawei sein zweites Ultrabook. Das schlanke Gerät überzeugt durch ein gutes Display, flotte Hardware samt dedizierter Grafikeinheit, clevere Kühlung und sinnvolle Anschlüsse. Nur die eigenwillig positionierte Webcam halten wir für fragwürdig.
Ein Test von Marc Sauter

  1. Android Huawei stellt zwei neue Tablets mit 10-Zoll-Displays vor
  2. Smartphones Huawei will Ende 2019 Nummer 1 werden
  3. Handelskrieg Huawei-Chef kritisiert Rückständigkeit in den USA

    •  /