Facebook paga recompensa de 12.500 dólares por fallo de seguridad encontrado

Facebook pagó 12.500 dólares a un cazarrecompensas por encontrar un fallo de seguridad en su sistema que podría ser explotado para borrar fotografías de los usuarios sin su consentimiento.

Un fallo fue encontrado por un ingeniero hindú de 21 años de edad a favor de la seguridad, Arul Kumar, quien reportó sobre el pago en su blog. “Me gustaría compartir uno de los errores de seguridad en Facebook que permitía borrar cualquier fotografía sin la interacción del usuario”, escribió.

“El quipo de Facebook reconoció el fallo que encontré después de que mandé el video POC. La parte interesante, es que comprobé el error borrando la foto del álbum de Mark Zuckerberg sin su consentimiento. Ahora el fallo está resuelto complamente y Facebook me recompensó con 12 mil 500 dólares por haber encontrado el error de seguridad.”

En el momento de publicación, Facebook no había respondido a la solicitud de V3 para la confirmación de la entrada del blog de ??Kumar. Kumar explicó que la falla estaba en la versión móvil del tablero de apoyo de Facebook y que antes de la nueva solución, el fallo era explotable de forma remota.

“El tablero de apoyo es un portal diseñado para ayudar a seguir el progreso de los informes que se realicen en Facebook. Desde su tablero de apoyo, se puede ver si el informe fue revisado por los empleados de Facebook que evalúan los informes las 24 horas del día, siete días a la semana “, escribió.

Principalmente, este fallo existía en un dominio móvil del tablero de apoyo. Si alguien reporta que la fotografía no fue removida por el equipo de Facebook, el usuario tiene la opción de mandar la solicitud para la eliminación de fotografía al dueño de la misma vía mensajes. Si el usuario envía un mensaje de solicitud, el servidor de Facebook automáticamente generará un vínculo borrado de la foto y se enviará al propietario.”

Kumar afirmó que Facebook ignoró incialmente el error con la contestación de un investigador que decía: “Así es, estuve tratando de explotar el fallo durante 40 minutos pero no se pueden borrar fotografías de ninguna víctima. ”

El ingeniero de la India es uno de los muchos investigadores cuyos informes fueron ignorados al principio. El investigador independiente, Khalil Shreateh, tardó en recibir un mensaje después de informar sobre un error que permitía a los usuarios publicar en las páginas de Facebook de otras personas, incluso si no eran amigos.

Sin embargo, a diferencia de Kumar, quien envió un video que ofrecía una guía más detallada sobre la forma de explotar el fallo, Shreateh explotó polémicamente el fallo que había descubierto para publicar un mensaje en el muro del fundador de Facebook, Mark Zuckerberg. El movimiento llevó a Facebook a denegar el pago de Shreateh por haber roto la política de un descubrimiento responsable.

 Fuente