Abo
  • Services:
Anzeige
Facebook Messenger war durch neue Schwachstelle angreifbar.
Facebook Messenger war durch neue Schwachstelle angreifbar. (Bild: Flickr/downloadsourcefr/CC-BY 2.0)

Sicherheitslücke: Facebook Messenger ermöglichte Zugriff auf private Nachricht

Facebook Messenger war durch neue Schwachstelle angreifbar.
Facebook Messenger war durch neue Schwachstelle angreifbar. (Bild: Flickr/downloadsourcefr/CC-BY 2.0)

Die privaten Nachrichten von einer Milliarde Facebook-Nutzern waren offenbar über einen kritischen Bug im Messenger angreifbar. Facebook habe die Lücke bereits geschlossen. Ob der Fehler aktiv ausgenutzt wurde, ist nicht bekannt.

Über einen sogenannten Cross-Origin-Bypass-Angriff ist es Mitarbeitern der Sicherheitsfirma Cynet nach eigenen Angaben gelungen, über eine präparierte Webseite Zugriff auf Facebooks Messenger-Daten zu erhalten.

Anzeige

Dies sei möglich, weil Facebook den "Access-Control-Allow-Origin"-Header in Javascript falsch interpretiere. Die Chat-Daten des Facebook Messenger stammen üblicherweise von einer anderen Domain als die Facebook-Webseite, nämlich von variablen Adressen nach dem Prinzip "{number}-edge-chat.facebook.com". Der Access-Control-Allow-Origin-Header ermöglicht den Datenaustausch zwischen den verschiedenen Domains. Empfängt der Facebook-Server dagegen Anfragen von einem nicht autorisierten Server, zum Beispiel einer bösartigen Webseite in einem anderen Tab, werden diese abgelehnt.

Angriff über normale GET-Requests

Cynets Angriff war möglich, weil "Facebook außerdem normale GET-Requests an die Chat-Domains erlaubt", diese aber keinen Origin-Header hätten. Stattdessen wurde das Header-Feld in dem Angriff durch den Wert "null" ersetzt, den wiederum die Facebook-Server nicht blockierten, sondern einfach durchwinkten.

"Dies war ein extrem ernsthaftes Problem nicht nur, weil es eine so hohe Anzahl Nutzer betrifft, sondern auch, weil Nutzer vollständig angreifbar blieben, selbst wenn sie den PC wechseln oder ihre Chats von einem Smartphone ausführen", zitiert The Hacker News einen der beteiligten Mitarbeiter.

Secret Conversations nicht betroffen

Die erst kürzlich von Facebook eingeführten, Ende-zu-Ende-verschlüsselten "Secret Conversations" seien von der Schwachstelle nicht betroffen. Sie blieben auch nach dem Abfischen durch einen Angreifer unlesbar. Secret Conversations stehen allerdings ausschließlich über Facebooks Mobil-App zur Verfügung und sind auch dort - anders als beispielsweise bei Signal - nicht standardmäßig aktiviert. Die große Mehrheit der Nutzer versendet also vermutlich Klartext-Nachrichten.

Die Entdecker der Lücke haben Facebook nach eigenen Angaben über sein Bug-Bounty-Programm informiert. Das Unternehmen habe die Schwachstelle anerkannt und innerhalb weniger Tage entfernt.

Nicht die erste Lücke

Erst im Juni hatte eine Sicherheitsfirma eine andere Lücke im Facebook Messenger gefunden, durch die Angreifer in der Lage waren, Kommunikationsvorgänge zu manipulieren und so die Historie zu verändern oder Malware einzuschleusen. Auch hier hatte Facebook innerhalb kurzer Zeit einen Fix bereitgestellt.


eye home zur Startseite
Xiut 17. Dez 2016

Genau... Was für eine Logik... Aber du scheinst wohl auch nicht die entsprechende Reife...



Anzeige

Stellenmarkt
  1. Hessischer Rundfunk, Frankfurt am Main
  2. HUGO BRENNENSTUHL GMBH & CO KOMMANDITGESELLSCHAFT, Tübingen-Pfrondorf
  3. Schwarz Zentrale Dienste KG, Neckarsulm
  4. operational services GmbH & Co. KG, Ottobrunn


Anzeige
Hardware-Angebote
  1. ab 179,99€
  2. 274,90€ + 3,99€ Versand

Folgen Sie uns
       


  1. Canon

    Riesiger Bildschirm soll DSLR und Tablet vereinen

  2. Wibotic Powerpad

    Induktions-Drohnenlandeplatz erhöht die Reichweite

  3. Mercedes-Benz Energy

    Elektroauto-Akkus werden zum riesigen Stromnetzspeicher

  4. Unternehmen

    1&1 Versatel bietet Gigabit für Frankfurt

  5. Microsoft

    Xbox One emuliert 13 Xbox-Klassiker

  6. DMT Bonding

    Telekom probiert 1 GBit/s ohne Glasfaser aus

  7. Telekom-Software

    Cisco kauft Broadsoft für knapp 2 Milliarden US-Dollar

  8. Pubg

    Die blaue Zone verursacht künftig viel mehr Schaden

  9. FSFE

    "War das Scheitern von Limux unsere Schuld?"

  10. Code-Audit

    Kaspersky wirbt mit Transparenzinitiative um Vertrauen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
ZFS ausprobiert: Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
ZFS ausprobiert
Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
  1. Librem 5 Purism zeigt Funktionsprototyp für freies Linux-Smartphone
  2. Pipewire Fedora bekommt neues Multimedia-Framework
  3. Linux-Desktops Gnome 3.26 räumt die Systemeinstellungen auf

Verschlüsselung: Niemand hat die Absicht, TLS zu knacken
Verschlüsselung
Niemand hat die Absicht, TLS zu knacken
  1. RSA-Sicherheitslücke Infineon erzeugt Millionen unsicherer Krypto-Schlüssel
  2. TLS-Zertifikate Zertifizierungsstellen müssen CAA-Records prüfen
  3. Certificate Transparency Webanwendungen hacken, bevor sie installiert sind

Zotac Zbox PI225 im Test: Der Kreditkarten-Rechner
Zotac Zbox PI225 im Test
Der Kreditkarten-Rechner

  1. Re: Problem = Nutzer

    FreiGeistler | 07:56

  2. Da kommen viele Interessenskonflikte zusammen

    ckerazor | 07:51

  3. Re: HA HA, Reactive, Non-blocking am A****

    dice2k | 07:50

  4. Re: Golem - Die Apple-Hater!

    maci23 | 07:49

  5. und wie lange dauert der Ladevorgang?

    booyakasha | 07:35


  1. 07:34

  2. 07:22

  3. 07:11

  4. 18:46

  5. 17:54

  6. 17:38

  7. 16:38

  8. 16:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel