“`html
Facebook’un Güvenlik Açığına Dikkat Çeken Araştırmacı
Ekimin 2024’te, güvenlik araştırmacısı Ben Sadeghipour, Facebook’un reklam platformunu analiz ederken önemli bir güvenlik açığı buldu. Bu açık, ona Facebook’un iç sunucusu üzerinde komut çalıştırma imkanı vererek sunucuya tam erişim sağladı.
Facebook’a Hızla Bildirildi ve Payout Süreci
Sadeghipour, bu açığı Meta’ya bildirince, Facebook’un sahibi olan şirketin sadece bir saat içinde düzeltme yaptığını belirtti. Bu çalışma sonrasında, kendisine $100,000 değerinde bir bug bounty ödülü verildi.
Raporda, Sadeghipour’un, Meta’ya “Sorununuzun altyapınız içinde olduğu için bunu düzeltmek isteyebileceğinizi düşünüyorum” dediğini aktardı. Meta, Sadeghipour’a geri dönerek, güvenlik açığını düzeltme sürecinde daha fazla test yapmaktan kaçınmasını istedi.
Güvenlik Açığının Detayları
Sadeghipour’a göre, Facebook’un reklam yaratma ve dağıtma için kullandığı sunuculardan biri, daha önce düzeltildiği bildirilen bir güvenlik açığına açıktı. Bu durum, Facebook’un reklam sisteminde kullandığı Chrome tarayıcısındaki bir hata yüzündendi. Sadeghipour, bu yamanmamış açığın, başsız bir Chrome tarayıcısı kullanarak iç sunuculara doğrudan erişim sağlamasına olanak tanıdığını belirtti.
Alex Chapman ile birlikte çalışan Sadeghipour, çevrimiçi reklam platformlarının özellikle hedef almak için cazip olduğunu çünkü “bu tür içeriklerin oluşturulması sırasında büyük miktarda verinin işlem gördüğünü” ifade etti.
Olası Riskler ve Vurgulanan Tehlikeler
Sadeghipour, Facebook sunucusuna girdiğinde tüm potansiyel eylemlerini test etmediğini, ancak “bu durumun tehlikeli olmasının sebebinin, bunun iç altyapının bir parçası olması” olduğunu söyledi.
“Kod yürütme yeteneğimiz vardı, dolayısıyla o altyapıdaki sitelere etkileşimde bulunma imkanımız olabilirdi,” ifadeleriyle durumun ciddiyetini vurguladı. “Bir uzaktan kod yürütme açığı ile bazı kısıtlamaların aşılmasını ve sunucudan doğrudan veri alma imkanı sağlayabiliriz.”
Meta’nın sözcüsü Nicole Catalano, TechCrunch’ın yorum talebini aldıklarını ancak yorum yapmadıklarını belirtti. Ayrıca Sadeghipour, benzer reklam platformlarının da bu tür güvenlik açıklarına sahip olabileceğini ileri sürdü.
“`
