Beveiligingsonderzoeker vindt lek in Facebook
Een Indiase beveiligingsonderzoeker heeft recentelijk ontdekt dat hij op eenvoudige wijze fotoalbums kon verwijderen van Facebook. De kwetsbaarheid kwam hij op het spoor, nadat hij in de gebruikersdocumentatie van de Facebook API (ook Facebook Graph genoemd) las dat het niet mogelijk was om fotoalbums te kunnen verwijderen. Toch probeerde Laxman Muthiyah deze via een aanroep op de API te verwijderen met behulp van ene openbare album-key, maar een foutmelding liet zien dat het niet mogelijk was om een album te verwijderen. Daarop besloot hij om gebruik te maken van de applicatie-key van de mobiele Facebook-app, die op de mobiele telefoons en tablets wordt gebruikt.
Al snel bleek dat hij de functie hiervoor toch had kunnen gebruiken, zonder dat hij de juiste rechten zou hebben.
Muthiyah waarschuwde Facebook en binnen twee uur was het probleem verholpen. De onderzoeker kreeg als dank voor het vinden van het lek een beloning van 12.500 dollar. Op YouTube is nog een demonstratie van de kwetsbaarheid te vinden.
De impact van de bug zou zeer groot zijn geweest als deze gevonden zou zijn door kwaadwillenden. Met een botnet zou het dan mogelijk zijn geweest om massaal onrechtmatig foto's van anderen te kunnen kunnen verwijderen.
Gerelateerde nieuwsberichten
24/02/2017 CloudFlare lekte gebruikersdata
10/08/2016 Facebook gaat AdBlock omzeilen
22/09/2015 Eens kijken bij Google, Facebook en Apple?
Om te reageren heb je een account nodig en je moet ingelogd zijn.