|  |  | 

Hacking News Latest Vulnerabilities

Facebook Sitesinde Uzaktan Kod Çalıştırma Açığını Bulan Hacker’a 33.500 Dolar Ödül Verdi

img-responsive

 Facebook bugüne kadarki en büyük BuG Bounty ödülünü, sistem üzerinden Uzaktan Kod Çalıştırma açığını bulan  Brezilyalı bir güvenlik araştırmacına ödedi. Bu açık sayesinde sunucunun tüm kontrolünü ele geçirmenin mümkün olduğu belirtiliyor.

Facebook Bug Bounty
Ekim ayında, Reginaldo Silva Drupal portallarında kullanılan ve OpenID sistemine olanak sağlayan bir yapıda XML açığı bulmuştu. Bu açık sayesinde saldırgan sunucu üzerindeki herhangi bir dosyayı okuyabiliyordu.
Benzer eklenti, Facebook tarafından kullanıcılara bir özellik olarak sunuldu, bu özellik sayesinde facebook 3. parti servisler tarafından gönderilen OpenID XML dosyalarını https://www.facebook.com/openid/receiver.php adresi üzerinden kabul etmeye başlamıştı. Buraya gelen dosyaları sistem gözden geçirip geçerli olup olmadığını kontrol ediyordu
Araştırmacı, 2013 Kasım ayında, Facebook üzerindeki “Şifremi Unuttum” özelliğini test ederken OpenID tarafından gönderilen XML dosyanının manipüle edilerek sunucu üzerinde istenilen kodu çalıştırabileceğini keşfetti. Bunun yanında sunucu üstündeki dosyaları da okuyabiliyordu.
Bu durumun gerçek olduğunu göstermek için bir demo da hazırlayan güvenlik uzmanı sunucu üzerindeki kullanıcı bilgilerinin tutulduğu ( sunucu kullanıcılarının ) etc/passwd dosyasınını içeriğini okuyarak açığın ne kadar ciddi olduğunu göstermiş oldu.

Bug’u facebook yetkililerine bildirdikten 3.5 saat sonra facebook bu açığı yamayarak sorunu düzeltiğini bildirdi.

Açığı kabul eden Facebook yönetimi bug’ı bildiren güvenlik uzmanına 33.500 dolar ödeme yaptığını doğruladı.

facebook-sitesinde-uzaktan-kod-calistirma-acigini-bulan-hackera-33-500-dolar-odul-verdi

ABOUT THE AUTHOR

Information and Software Security Specialist Ethical Hacker and Pentester

1 Comment

  1. beyza

    ben bundan hiç bir şey anlamadım

POST YOUR COMMENTS

Your email address will not be published. Required fields are marked *

Name *

Email *

Website