Une faille Facebook a permis à des utilisateurs non autorisés de supprimer n’importe quelle photo

«Bouger vite et casser les choses» était le mantra des développeurs de Facebook, mettant l’accent sur la rapidité à déployer de nouvelles fonctionnalités plutôt que de se soucier de leur mise en œuvre.

Nouvelle fonctionnalité

Ils ne promeuvent peut-être pas cette devise de nos jours, mais il est clair que l’innovation peut parfois être considérée comme plus importante que la sécurité et la vie privée.

Par exemple, un chercheur en sécurité a trouvé un moyen de supprimer n’importe quelle photo sur Facebook après que le réseau social ait déployé une nouvelle fonctionnalité d’interrogation.

 

La faille

Comme Eduard Kovacs à la Semaine de sécurité rapporte:

Début novembre, Facebook a annoncé une nouvelle fonctionnalité pour publier des sondages comprenant des images et des animations GIF. Pouya Darabi, chercheur en sécurité et développeur Web basé en Iran, a analysé la fonctionnalité peu de temps après son lancement et a découvert qu’elle introduisait une faille facile à exploiter.

Lorsqu’un utilisateur a créé un sondage, la demande envoyée aux serveurs Facebook comprenait les identifiants des fichiers d’image ajoutés au sondage. L’expert a remarqué que les utilisateurs pouvaient remplacer l’identifiant de l’image dans la demande par l’identifiant d’une photo sur Facebook et que cette photo apparaîtrait dans le sondage.

Darabi a alors découvert qu’une fois que le créateur du sondage a supprimé le message, l’image dont l’ID a été ajouté à la requête sera également supprimée de Facebook.

Vous pourrez peut-être ajouter n’importe quelle image que vous pouvez trouver sur Facebook (« accès en lecture ») mais il n’y a aucun moyen que cela puisse signifier que vous pouvez également commander Facebook pour supprimer l’image (« accès en écriture »).

 

Lire absolument: Comment protéger son compte Facebook

 

Une récompense obtenue

Darabi a gagné une prime de 10 000 $ pour sa découverte, et Facebook dit qu’il a corrigé le trou de sécurité plus tôt ce mois-ci.

Hmm. En fait, c’est un peu dommage que le trou ait été réparé.

J’imagine que ce serait une façon pratique de forcer la suppression d’images angoissantes que d’autres ont postées sur le réseau, soit parce qu’elles vous ont tagué sur des photos qui vous ont fait grossir, soit parce qu’elles étaient partagées par un vengeur. ex-partenaire.