Abo
  • Services:
Anzeige
Facebook zahlte 40.000 US-Dollar für einen Imagetragick.
Facebook zahlte 40.000 US-Dollar für einen Imagetragick. (Bild: Thierry Roge/Reuters)

Bug Bounty: Facebook zahlt 40.000 US-Dollar für Imagetragick-Bug

Facebook zahlte 40.000 US-Dollar für einen Imagetragick.
Facebook zahlte 40.000 US-Dollar für einen Imagetragick. (Bild: Thierry Roge/Reuters)

Facebook war auch Monate nach Entdeckung von Imagetragick für den Bug anfällig. Das Team reagierte aber schnell und patchte den Bug.

Der Sicherheitsforscher Andrey Leonov hat 40.000 US-Dollar für die Entdeckung eines Bugs in der Software des sozialen Netzwerks bekommen. Facebook war für die Imagetragick-Schwachstelle (CVE-2016-3714) anfällig, die es ermöglicht, über präparierte Bilder Code in einen Webserver einzuschleusen und zur Ausführung zu bringen.

Anzeige

Facebook war offenbar im vergangenen Herbst auch fünf Monate nach Bekanntwerden der Sicherheitslücke noch dafür verwundbar. Leonov wurde offenbar eher zufällig auf den Bug aufmerksam. Während er einen anderen großen Onlinedienst testete, leitete ihn ein Redirect auf Facebook um und er probierte verschiedene Angriffsszenarien durch.

Server Side Request Forgery

Mit dem Upload eines präparierten Bildes im SVG-Format gelang es ihm schließlich, eine Anfrage des Servers zu provozieren (Server Side Request Forgery, SSRF). Da die Firewall normale Zugriffe blockiert, nutzte Leonov stattdessen DNS-Anfragen, die von Facebooks Firewall offensichtlich nicht gefiltert wurden.

Leonov schickte im vergangenen Oktober einen Proof of Concept an Facebooks Sicherheitsteam, das innerhalb von zwei Tagen reagierte und den Fehler behoben hat. Der Bounty wurde über das Portal Bugcrowd ausgezahlt. Den Exploit selbst veröffentlichte Leonov nicht.

Der Imagetragick-Bug war im vergangenen Mai von Nikolay Ermishkin gefunden worden. Bei mehr als 200 Bildformaten war es möglich, über Bilder Shellcode in Server zu injizieren. Innerhalb weniger Tage wurde die Sicherheitslücke von Angreifern aktiv ausgenutzt. Einziger Schutz war zunächst, die Unterstützung für zahlreiche Bildformate zu deaktivieren, die Prüfung der Magic Bytes zu aktivieren oder die alternative Bibliothek Graphicsmagick zu nutzen.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. Deutsche Telekom Technik GmbH, verschiedene Standorte
  2. Deutsche Telekom AG, Bonn, Münster
  3. Daimler AG, Leinfelden-Echterdingen
  4. Robert Bosch GmbH, Leonberg


Anzeige
Top-Angebote
  1. (u. a. Seagate Expansion Portable 2 TB 77€)
  2. 29,99€ + 4,99€ Versand oder Abholung im Markt
  3. 29,99€ + 4,99€ Versand oder Abholung im Markt

Folgen Sie uns
       


  1. Schulden

    Toshiba-Partner und Geldgeber wollen Insolvenzverfahren

  2. Sysadmin Day 2017

    Zum Admin-Sein fehlen mir die Superkräfte!

  3. Ipod Touch günstiger

    iPod Nano und iPod Shuffle eingestellt

  4. Nissan Leaf

    Geringer Reichweitenverlust durch alternden Akku

  5. Quartalsbericht

    Amazons Gewinn bricht ein

  6. Sicherheitslücke

    Caches von CDN-Netzwerken führen zu Datenleck

  7. Open Source

    Microsoft tritt Cloud Native Computing Foundation bei

  8. Q6

    LGs reduziertes G6 kostet 350 Euro

  9. Google

    Youtube Red und Play Music fusionieren zu neuem Dienst

  10. Facebook Marketplace

    Facebooks Verkaufsplattform kommt nach Deutschland



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Ausprobiert: JPEGmini Pro komprimiert riesige JPEGs um bis zu 80 Prozent
Ausprobiert
JPEGmini Pro komprimiert riesige JPEGs um bis zu 80 Prozent
  1. Google KI erstellt professionelle Panoramen
  2. Bildbearbeitung Google gibt Nik Collection auf

Kryptowährungen: Bitcoin steht vor grundlegenden Änderungen
Kryptowährungen
Bitcoin steht vor grundlegenden Änderungen
  1. Geldwäsche Mutmaßlicher Betreiber von BTC-e angeklagt und festgenommen
  2. Linux-Distributionen Mehr als 90 Prozent der Debian-Pakete reproduzierbar
  3. Kryptowährung Bitcoin notiert auf neuem Rekordhoch

Matebook X im Test: Huaweis erstes Ultrabook glänzt
Matebook X im Test
Huaweis erstes Ultrabook glänzt
  1. Porsche Design Huaweis Porsche-Smartwatch kostet 800 Euro
  2. Smartphone Neues Huawei Y6 für 150 Euro bei Aldi erhältlich
  3. Huawei Neue Rack- und Bladeserver für Azure Stack vorgestellt

  1. Mehr Ausbildung als notwendig

    Annabett93 | 10:33

  2. Re: iPod Touch ist kein Ersatz

    Citadelle | 10:33

  3. Re: 11-20% sind gering?

    Sharra | 10:32

  4. Re: Da sind die Admins selbst dran schuld

    .02 Cents | 10:32

  5. Es geht auch anders

    DAUVersteher | 10:28


  1. 10:41

  2. 09:04

  3. 07:23

  4. 07:13

  5. 22:47

  6. 18:56

  7. 17:35

  8. 16:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel