Zero‑Day in Facebook Business Manager erlaubt Übernahme von beliebigen Facebook‑Seiten

Was ist passiert?

Ein Sicherheitsforscher namens Arun Sureshkumar fand eine Sicherheitslücke im Facebook Business Manager. Mit dem Fehler ließ sich offenbar der Zugang zu einzelnen Facebook‑Seiten erzwingen. In seinem Blog beschrieb er, wie sich Seiten von Organisationen und öffentlichen Personen übernehmen ließen. Er meldete den Fund an Facebook. Das Unternehmen bestätigte die Kritikalität, entfernte vorübergehend einen betroffenen Endpunkt und löste in kurzer Zeit ein vollständiges Update aus. Als Belohnung erhielt der Forscher 16.000 USD.

Was ist ein Zero‑Day?

Ein Zero‑Day ist eine bislang unbekannte Schwachstelle, für die es noch keinen offiziellen Patch gibt. Angreifer können sie nutzen, bis der Hersteller einen Fix bereitstellt. Kurz: ein ungepatchter, kritischer Fehler.

Technischer Kern: IDOR (Insecure Direct Object References)

Der Forscher nannte als Ursache eine Insecure Direct Object References‑Schwachstelle (IDOR). Ein IDOR entsteht, wenn eine Anwendung direkte Referenzen (z. B. IDs) zu Objekten verwendet und diese Referenzen nicht ausreichend gegen Manipulation geprüft werden. Durch gezielte Änderung dieser Referenzen kann ein Angreifer auf fremde Ressourcen zugreifen.

Einzeilige Definition: IDOR erlaubt Zugriff auf Objekte, nur weil deren Identifikator bekannt oder manipulierbar ist.

Wie funktionierte der Nachweis (PoC) allgemein?

• Der Angreifer sendet manipulierte Anfragen an den Business Manager‑Endpunkt.
• Die Anwendung überprüft nicht ausreichend, ob der anfragende Benutzer die notwendige Berechtigung für die Ziel‑Seite hat.
• Dadurch wird Zugriff oder Kontrolle über die Seite gewährt.

Hinweis: Konkrete Anfrage‑Payloads oder Endpunktpfade wurden vom Forscher in seinem Proof‑of‑Concept demonstriert, um die Reproduzierbarkeit zu zeigen. Die Details hier wurden nicht vervielfältigt, um Missbrauch zu reduzieren.

Betroffene Komponenten

• Facebook Business Manager (Verwaltung von Seiten, Werbekonten und Rollen)
• Facebook‑Seiten, deren Eigentums‑/Zugriffsprüfungen ungenügend erfolgten

Chronologie der Reaktion

• Entdeckung: Sicherheitsforscher identifiziert die Schwachstelle.
• Meldung: Verantwortliche Offenlegung an das Facebook Security Team.
• Sofortmaßnahme: Entfernen eines kritischen Endpunkts als kurzfristiger Schutz.
• Vollständiger Fix: Facebook veröffentlichte ein Update innerhalb etwa einer Woche.
• Prämie: Der Finder erhielt 16.000 USD als Bug‑Bounty.

Warum das wichtig ist

Facebook‑Seiten sind zentrale Kommunikationskanäle für Unternehmen, Behörden und öffentliche Personen. Eine Übernahme kann zu Desinformation, Betrug, finanziellen Schäden und Reputationsverlust führen. Die Ereignisfolge zeigt, wie wichtig verantwortliche Meldungen und zeitnahe Patches sind.

Maßnahmen für Unternehmen (Praktische Empfehlungen)

• Prinzip der geringsten Rechte: Vergeben Sie nur nötige Rollen im Business Manager.
• Regelmäßige Überprüfung: Auditieren Sie Administratoren und Zugriffsberechtigungen mindestens quartalsweise.
• Multi‑Faktor‑Authentifizierung (MFA): Aktivieren Sie MFA für alle Konten mit Verwaltungsrechten.
• Änderungsüberwachung: Protokollieren Sie rollenbezogene Änderungen und prüfen Sie unbekannte Einträge frühzeitig.
• Bug‑Reporting: Melden Sie verdächtige Schwachstellen verantwortungsvoll an die Plattform.

Checkliste für Administratoren

• Aktive Admins prüfen und verifizieren
• MFA für alle Admin‑Konten aktivieren
• Unbekannte Apps und Integrationen entfernen
• Protokolleinstellungen aktivieren und regelmäßig prüfen
• Kontaktinformationen für Sicherheitsmeldungen aktuell halten

Wann diese Methode scheitert (Gegenbeispiele)

• Wenn Facebook interne Logik vor einer Berechtigungsänderung serverseitig strikt validiert.
• Wenn alle relevanten Endpunkte korrekt autorisieren und IDs nicht manipulierbar sind.
• Wenn Zeitlich begrenzte Tokens oder zusätzliche Attributprüfungen (z. B. Besitzverifikation) eingesetzt werden.

Risikoüberblick (qualitativ)

• Eintrittswahrscheinlichkeit: Moderat — Webapplikationen weisen typischerweise solche Fehler auf, wenn Autorisierungsprüfungen lückenhaft sind.
• Schaden: Hoch — Seitenübernahmen können weitreichende Folgen haben.
• Empfohlene Maßnahmen: Kurzfristig: Endpunkte entfernen/abschalten; Mittelfristig: serverseitige Autorisierung hart machen; Langfristig: Secure‑by‑Design‑Prüfungen in Entwicklungsprozessen verankern.

Kurzes Glossar

• Zero‑Day: Ungepatchte, bislang unbekannte Schwachstelle.
• IDOR: Unsichere direkte Objektverweise, die Manipulation erlauben.
• Business Manager: Facebook‑Tool zur Verwaltung von Seiten und Werbekonten.

Fazit

Die Entdeckung zeigt, dass selbst große Plattformen wie Facebook anfällig sein können. Wichtig ist die schnelle, verantwortungsvolle Meldung sowie ein effektives Patch‑Management. Unternehmen sollten ihre Administrations‑Praxis überdenken und grundlegende Sicherheitsmaßnahmen anwenden, um das Risiko einer Seitenübernahme zu minimieren.

Wichtig: Überprüfen Sie regelmäßig die Zugriffslisten Ihres Business Managers und aktivieren Sie Multi‑Faktor‑Authentifizierung für alle Personen mit administrativen Rechten.

Zusammenfassung:

• Eine IDOR‑Schwachstelle im Facebook Business Manager ermöglichte die Übernahme von Seiten.
• Facebook reagierte, patchte die Lücke und zahlte 16.000 USD an den Finder.
• Admins sollten Zugriff, MFA und Protokollierung sofort prüfen.

Kritische Hinweise:

• Wenn Sie eine Schwachstelle finden, melden Sie diese verantwortungsvoll über die offiziellen Kanäle.
• Veröffentlichen Sie keine detaillierten Exploit‑Anweisungen, um Missbrauch zu verhindern.