Facebook: Bug erlaubte Zugriff auf Daten & Chats

Das Social Network Facebook hatte inzwischen mehrere Jahre eine Sicherheitslücke, über die Werbekunden und Partner auf sensible Daten von Nutzern zugreifen konnten - darunter auch Fotos und Chat-Verläufe. Entdeckt wurde der Fehler vom Security-Unternehmen Symantec. Auf dessen Hinweise hin konnten die Entwickler bei Facebook das Problem inzwischen beheben. Unklar ist bisher, ob der Bug tatsächlich ausgenutzt wurde. Hinweise darauf gibt es nach bisherigen Erkenntnissen nicht.

Der Fehler lag in dem System, mit dem eine Authentifizierung zwischen Nutzern und Anwendern durchgeführt wird. Hier wurden Zugangs-Tokens teilweise falsch behandelt. Für gewöhnlich laufen diese relativ schnell ab, allerdings sorgte der Bug dafür, dass Applikationen auch Tokens ohne Ablaufdatum anfordern konnten, wenn der jeweilige Nutzer nicht eingeloggt war.

Mit ihrer Hilfe konnten Unbefugte die Datenschutz-Parameter von Nutzern überschreiben und so Zugriff zu allen Informationen in einem Profil erhalten. Außerdem hatten sie die Möglichkeit, Nachrichten im Namen der jeweiligen Nutzer zu senden. Dass die Sicherheitslücke wohl zuvor nicht entdeckt wurde, lässt sich auch daran festmachen, dass keine größeren Spam-Wellen über sie losgetreten wurden.

Das Problem beschränkte sich auf alte Facebook-APIs, die offiziell nicht mehr unterstützt werden, allerdings noch nutzbar waren. Die Betreiber des Social Networks kündigten an, diese demnächst endgültig abzustellen. Bis zum 1. September haben Anbieter von Applikationen noch Zeit, auf den seit einiger Zeit genutzten OAuth 2.0-Authentifizierungs-Mechanismus umzustellen.