Een 21-jarige Indiase onderzoeker heeft een lek op Facebook ontdekt waardoor het mogelijk was om elke willekeurige foto op de sociale netwerksite te verwijderen. In eerste instantie kon Facebook de bug van Arul Kumar niet reproduceren, maar nadat de Indiër een demonstratievideo had opgestuurd werd het probleem door het Security Team van Facebook wel opgepakt.

Kumar had geleerd van de fouten die de Palestijnse hacker Khalil Shreateh bij zijn bugmelding maakte. Die had een bugmelding naar Facebook gestuurd, maar kreeg ook een bericht terug dat het probleem niet konden worden gereproduceerd. Daarop besloot Shreateh de bug op de wall van Facebookbaas Mark Zuckerberg te demonstreren.

Bugmelding

Vanwege het gebruik van echte gebruikersaccounts kreeg de Palestijnse onderzoeker geen beloning van Facebook, omdat hij de regels voor het verantwoord melden van beveiligingslekken had overtreden. De sociale netwerksite heeft een beloningsprogramma om bugmeldingen te belonen, maar alleen als er aan bepaalde voorwaarden is voldaan.

Uiteindelijk haalde een andere beveiligingsexpert via een crowdfunding initiatief ruim 10.000 dollar op voor de Palestijnse hacker, maar de boodschap die Facebook afgaf was duidelijk. Kumar werkte wel met demoaccounts en stuurde een bruikbare video op, zo blijkt uit de e-mail die hij van Facebook ontving en publiceerde.

Foto's verwijderen

Het probleem dat Kumar ontdekte bevond zich in het Support Dashboard, een portal waar Facebookgebruikers bij Facebook gerapporteerde meldingen kunnen volgen. Zo is het mogelijk om te zien of Facebookmedewerkers naar de melding hebben gekeken en wat de status is. Het is onder andere mogelijk om een verzoek in te dienen om een foto van een andere Facebookgebruiker te verwijderen.

Als Facebook niet op het verwijderverzoek ingaat, kan een gebruiker het verzoek naar de eigenaar van de foto sturen. De Facebookserver genereert dan een verwijderlink. Als de eigenaar daarop klikt wordt de foto verwijderd. Kumar ontdekte dat hij het foto_id en profiel_id van de eigenaar kon aanpassen, zodat hij de verwijderlink op zijn eigen e-mailadres ontving.

Zodoende was het mogelijk om zonder enige interactie van de eigenaar de foto te verwijderen, zonder dat de eigenaar daarnaast werd ingelicht. Facebook heeft het probleem inmiddels opgelost, waarop Kumar besloot de details prijs te geven. Als beloning ontving de Indiase hacker 12.500 dollar van Facebook.