Facebook: Lücke über Zuckerberg-Wall "gemeldet"

Ein Sicherheitsforscher hat auf eine etwas ungewöhnliche Weise auf eine Sicherheitslücke bei Facebook hingewiesen, nämlich über einen gehackten Beitrag auf dem (privaten) Profil von CEO Mark Zuckerberg. "Sehr geehrter Mark Zuckerberg. Zunächst einmal Sorry für das Verletzen Ihrer Privatsphäre und das Posten auf Ihrer Wall, aber ich hatte nach all den Meldungen an das Facebook-Team keine andere Wahl." Diesen knappen Eintrag fand Facebook-Gründer und -Chef jüngst auf seinem privaten Profil vor, der Verfasser dieses Textes war auch keiner der Freunde des CEOs des sozialen Netzwerks.

Denn Khalil Shreateh hatte nämlich eine Sicherheitslücke gefunden, die es ihm ermöglicht hat, auch auf fremden Facebook-Profilen Nachrichten hinterlassen zu können - also etwas, was an sich nur bestätigten Freunden vorbehalten ist. Das berichtet das bekannte US-Blog TechCrunch. Facebook-Chef Mark Zuckerberg erlebte einen Bug-Report der etwas anderen Art Shreateh hatte zuvor versucht, die Lücke an Facebook zu melden und hatte zur Demonstration einen ähnlichen Fremdbeitrag auf Sarah Goodins (einer College-Freundin von Zuckerberg) Facebook-Profil gepostet. Das Sicherheitsteam des sozialen Netzwerks konnte die Lücke aber nicht nachvollziehen (weil man nicht mit Goodwin befreundet war oder eine entsprechende Überbrückung gesetzt hat) und ignorierte die Meldung.

Der Hacker übermittelte die Fehlerbeschreibung samt genauerer Anleitung ein weiteres Mal, doch auch beim zweiten Mal stellte Facebooks Security fest, dass es sich hierbei "nicht um einen Bug handelt." Also beschloss Khalil Shreateh seinen "Bug-Report" auf die nächste Stufe zu heben und "hackte" das Konto des Facebook-Chefs. Wie TechCrunch schreibt, war die Lücke daraufhin "binnen Minuten" gestopft.

Der Entdecker der Lücke dürfte aber durch den ungewöhnlichen Weg, diese aufzuzeigen, finanziell leer ausgehen. Denn an sich belohnt Facebook, wie viele andere IT-Unternehmen auch, das Aufdecken von derartigen Lücken ("Whitehat"-Programm) mit Geld, man kann sich auf diese Weise 500 Dollar und mehr verdienen.

Voraussetzung dafür ist allerdings, dass man sich an die von Facebook vorgegebenen Regeln hält, was Shreateh mit seinen beiden Demonstrations-Posts bei Goodwin und Zuckerberg nicht gemacht hat. Seither wird darüber diskutiert, ob der Hacker aus Palästina nicht doch eine Belohnung bekommen sollte, Facebook verweist allerdings auf die Bestimmung, dass derartige Schwachstellen nicht anhand von echten Accounts angezeigt werden dürfen.

Siehe auch: Facebook verteilt 1 Mio. Dollar für gefundene Fehler