Een 21-jarige Indiase onderzoeker heeft een lek op Facebook ontdekt waardoor het mogelijk was om elke willekeurige foto op de sociale netwerksite te verwijderen. In eerste instantie kon Facebook de bug van Arul Kumar niet reproduceren, maar nadat de Indiër een demonstratievideo had opgestuurd werd het probleem door het Security Team van Facebook wel opgepakt.
Kumar had geleerd van de fouten die de Palestijnse hacker Khalil Shreateh bij zijn bugmelding maakte. Die had een bugmelding naar Facebook gestuurd, maar kreeg ook een bericht terug dat het probleem niet konden worden gereproduceerd. Daarop besloot Shreateh de bug op de wall van Facebookbaas Mark Zuckerberg te demonstreren.
Vanwege het gebruik van echte gebruikersaccounts kreeg de Palestijnse onderzoeker geen beloning van Facebook, omdat hij de regels voor het verantwoord melden van beveiligingslekken had overtreden. De sociale netwerksite heeft een beloningsprogramma om bugmeldingen te belonen, maar alleen als er aan bepaalde voorwaarden is voldaan.
Uiteindelijk haalde een andere beveiligingsexpert via een crowdfunding initiatief ruim 10.000 dollar op voor de Palestijnse hacker, maar de boodschap die Facebook afgaf was duidelijk. Kumar werkte wel met demoaccounts en stuurde een bruikbare video op, zo blijkt uit de e-mail die hij van Facebook ontving en publiceerde.
Het probleem dat Kumar ontdekte bevond zich in het Support Dashboard, een portal waar Facebookgebruikers bij Facebook gerapporteerde meldingen kunnen volgen. Zo is het mogelijk om te zien of Facebookmedewerkers naar de melding hebben gekeken en wat de status is. Het is onder andere mogelijk om een verzoek in te dienen om een foto van een andere Facebookgebruiker te verwijderen.
Als Facebook niet op het verwijderverzoek ingaat, kan een gebruiker het verzoek naar de eigenaar van de foto sturen. De Facebookserver genereert dan een verwijderlink. Als de eigenaar daarop klikt wordt de foto verwijderd. Kumar ontdekte dat hij het foto_id en profiel_id van de eigenaar kon aanpassen, zodat hij de verwijderlink op zijn eigen e-mailadres ontving.
Zodoende was het mogelijk om zonder enige interactie van de eigenaar de foto te verwijderen, zonder dat de eigenaar daarnaast werd ingelicht. Facebook heeft het probleem inmiddels opgelost, waarop Kumar besloot de details prijs te geven. Als beloning ontving de Indiase hacker 12.500 dollar van Facebook.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior specialist OSINT
Ben jij enthousiast en leergierig en wil je het cybercrimeteam Oost Nederland verder helpen in de aanpak van digitale criminaliteit? We zijn op zoek naar een junior specialist Open Source Intelligence (OSINT). Weet jij de digitale wereld van buiten naar binnen te halen? Dan is deze functie iets voor jou!
Juridische vraag: ik las in het FD dat concurrenten de AVG niet tegen elkaar in konden zetten. Maar het is toch oneerlijke ...
Een digitaal paspoort, recht op een betaalbare en snelle internetverbinding, 'digitale inburgering' of digitaal stemmen, het ...
Wanneer je hieronder het e-mailadres van je account opgeeft wordt er een nieuwe activatielink naar je gestuurd. Deze link kun je gebruiken om een nieuw wachtwoord in te stellen.
Wanneer je het juiste e-mailadres hebt opgegeven ontvang je automatisch een nieuwe activatielink. Deze link kan je gebruiken om een nieuw wachtwoord in te stellen.
Geef je e-mailadres op en kies een alias van maximaal 30 karakters.
Je hebt je succesvol aangemeld. Voordat je je account kunt gebruiken moet deze eerst geactiveerd worden. Dit kan je zelf doen middels de activatielink die naar het opgegeven e-mailadres is verstuurd.