Facebook : un chercheur découvre une faille permettant d'effacer n'importe quelle photo
Il reçoit une prime de 12 500 dollars
Le 2013-09-03 18:56:19, par Stéphane le calme, Chroniqueur Actualités
Après la découverte de la faille sur la sécurité de Facebook du hacker Palestinien Khalil Shreateh, c'est au tour d'Arul Kumar de mettre le doigt sur une faiblesse du numéro un des réseaux sociaux.
Sur son blog, le chercheur en sécurité parle d'un bogue qui permettrait à n'importe qui de supprimer à peu près n'importe quelle photo de Facebook sans tenir compte de l'auteur de la publication. La faille se trouve précisément dans un des menus de paramétrage (Support Dashboard) qui permet à un utilisateur de voir l'état des rapports qu'il a envoyés pour examen (par exemple pour des profils ou photos inappropriés ou des spams). Elle est exploitable de n'importe quel navigateur, mobile compris.
Lors du processus, un lien est généré automatiquement et il provoquait la suppression automatique de l'image après un clic dessus. Arul Kumar avait donc trouvé le moyen d’envoyer cette requête à un autre destinataire et pouvait ainsi supprimer à volonté des photos diffusées sur le réseau social. Pour cela l’attaquant avait besoin de l’identifiant de la photo et de l’ID de l’utilisateur (disponible sur le Facebook Graph).
Les termes du programme White Hat de Facebook prévoient que ceux qui trouvent des failles dans la sécurité et suivent les règles de Facebook dans le rapport des bogues perçoivent une récompense. La récompense minimale est de 500 dollars et, en fonction du degré de sévérité de la faille, Facebook peut payer plus. La plupart des paiements de Facebook ont oscillé autour de 1 500 dollars. Pourtant Arul Kumar a reçu une récompense de 12 500 dollars pour sa recherche qui a permis à l'équipe de corriger la faille dans la sécurité, soit 25 fois la prime de base.
Source : blog Arul Kumar
Et vous ?
Sur son blog, le chercheur en sécurité parle d'un bogue qui permettrait à n'importe qui de supprimer à peu près n'importe quelle photo de Facebook sans tenir compte de l'auteur de la publication. La faille se trouve précisément dans un des menus de paramétrage (Support Dashboard) qui permet à un utilisateur de voir l'état des rapports qu'il a envoyés pour examen (par exemple pour des profils ou photos inappropriés ou des spams). Elle est exploitable de n'importe quel navigateur, mobile compris.
Lors du processus, un lien est généré automatiquement et il provoquait la suppression automatique de l'image après un clic dessus. Arul Kumar avait donc trouvé le moyen d’envoyer cette requête à un autre destinataire et pouvait ainsi supprimer à volonté des photos diffusées sur le réseau social. Pour cela l’attaquant avait besoin de l’identifiant de la photo et de l’ID de l’utilisateur (disponible sur le Facebook Graph).
Les termes du programme White Hat de Facebook prévoient que ceux qui trouvent des failles dans la sécurité et suivent les règles de Facebook dans le rapport des bogues perçoivent une récompense. La récompense minimale est de 500 dollars et, en fonction du degré de sévérité de la faille, Facebook peut payer plus. La plupart des paiements de Facebook ont oscillé autour de 1 500 dollars. Pourtant Arul Kumar a reçu une récompense de 12 500 dollars pour sa recherche qui a permis à l'équipe de corriger la faille dans la sécurité, soit 25 fois la prime de base.
Source : blog Arul Kumar
Et vous ?
-
pcabocheRédacteurMais il est con ! Il aurait mieux fait de ne rien dire à personne et de monter sa société qui, moyennant finances, permettrait de se débarrasser de photos comprométantes (ex : les photos de vos dernières beuveries, qui font tache quand on cherche un emploi). Il aurait pu gagner beaucoup plus que 12 500 dollars !le 03/09/2013 à 19:36
-
LyonsMembre éclairéIls veulent se racheter après le petit scandale qu'a créé l'affaire Khalil Shreatehle 03/09/2013 à 19:30
-
ZeflingExpert confirméWha !! Commence on peut laisser passer de genre de chose sans vérifications des droits côté serveur... C'est la base : ne jamais faire confiance à ce qui vient du client.le 04/09/2013 à 1:38
-
Mr_ExalMembre expertEt pour une faille critique ils payent combien? Non parce que là ok c'est gênant mais pas critique non plus.le 04/09/2013 à 9:18
-
CarhibouxExpert éminent séniorClairement!
Les prochaines reviendront à la normale, à moins que ce soit leur nouveau palier de primes. Ils pourraient quand même!le 04/09/2013 à 9:46 -
valucardMembre du ClubPour la faille qui a été découverte par Khalil Shreateh et qui considéré comme très critique on ne paye rien et pour une telle faille qui ne semble pas faire des larmes 12500$, c'est trop. Heureusement que la communauté des Hackers s'est mobilisé pour lui ...le 04/09/2013 à 12:18
-
diallomadMembre averti12 500 dollars, c'est encourageant. Facebook sait maintenant qu'il a le choix entre reconnaitre les failles et récompenser ou ignorer les failles et le monde entier les reconnaitra( après une exploitation publique). Il est préférable d'avoir les hackers de son coté que sur son dosle 04/09/2013 à 13:01
-
Pelote2012Membre chevronnéOui oui ça sent quand même la tentative de faire oublier le précédent incident.
Mais bon le malheur des uns fais le bonheur des autresle 10/09/2013 à 9:20 -
SquisquiEn attente de confirmation mailEt pour 12.500$ Facebook se refait une image. Pas cher, non ?
En même temps, tout contenu doit pouvoir être signalé (et retiré). Donc pour une telle exploitation, la faille est bien inutile. La société ne fait que le ménage d'une personne qui aurait pu le faire elle-même.le 03/09/2013 à 20:03 -
lamdev69Nouveau Candidat au Clubje ne veut pas créer de polémique ici mais il ont payé 12500$ contrairement au palestinien à qui 500$ non jamais été versé lol mdrle 08/09/2013 à 11:52