Een Facebook-bug was net ontdekt door security-onderzoeker en bug jager Tommy DeVoss die werd toegekend $5,000. De fout kon hij het privé e-mailadres van elke gebruiker van de sociale media te bekijken. Bovendien, de hack maakte het mogelijk voor hem om zoveel mogelijk e-mailadressen mogelijk te verzamelen, ongeacht hoe particuliere gebruikers dachten dat ze waren.
De bug jager kwam over de kwetsbaarheid op Thanksgiving en meldde dit bij de Facebook-bug bounty-programma. Het kostte het bedrijf een aantal weken om de fout te verifiëren en betalen de onderzoeker de toekenning van $5,000.
Verwant: Facebook Messenger App en Chat Kwetsbaar voor Simple HTML Exploits
De Facebook Bug Explained
De bug kwam voort uit de User-generated Facebook Groups feature die gebruikers in staat stelt om affiniteit groepen te creëren op het platform. De onderzoeker ontdekte dat dat een beheerder van een groep die hij kon geen Facebook-lid uitnodigen om Beheerdersrollen via Facebook activiteiten zoals bewerk bericht of het toevoegen van nieuwe leden.
Facebook behandelde de uitnodigingen en zij werden naar Berichten de uitgenodigde gebruiker Inbox en het e-mailadres van de gebruiker gekoppeld aan de rekening. Wat DeVoss ontdekte was dat hij toegang geen kwestie kon krijgen tot e-mailadres van een gebruiker als hij bevriend was met hen of niet. De privacy-instellingen van de rekeningen waren geen obstakel.
DeVoss vond verder dat bij het annuleren van openstaande uitnodigingen van de gebruikers uitgenodigd om zijn admins een glitch gebeurd. "Terwijl Facebook wacht op de bevestiging, wordt de gebruiker doorgestuurd naar een tabblad Pagina Rollen die op een knop om het verzoek te annuleren omvat," hij toegelicht.
Volgende op zijn lijst werd de overstap naar mobiele weergave van het tabblad Pagina Rollen Facebook's waar hij het volledige e-mailadres van iedereen kon zien wilde hij annuleren van steeds een admin van de Facebook-groep. Hij merkte op dat door te klikken op om te annuleren de admin uit te nodigen op de mobiele pagina werd hij doorgestuurd naar een pagina met het e-mailadres in de URL. Hij hoefde alleen maar plukken de plaintext versie van de anders privé e-mailadres rechtstreeks vanuit het URL. Hier is hoe dit eruit ziet:
Wat is de impact van de Facebook-Bug?
De uitwerking van het beveiligingslek kan variëren. Om te beginnen met, het verzamelen van e-mailadressen als dat in tegenspraak is Facebook het privacybeleid en kan leiden tot gerichte phishing-aanvallen en diverse kwaadaardige activiteiten.
Facebook bevestigde de fout niet is ingezet in het wild. Een fix is reeds geïmplementeerd om het probleem te voorkomen worden misbruikt in de toekomst.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: