Anand Prakash i sikkerhetsselskapet PingSafe skriver i et blogginnlegg at de fant et stort sikkerhetshull i LinkedIn nylig.
Hullet skal ha gjort det mulig å slette et hvert innlegg fra en bruker eller selskaps profilside på det sosiale nettverket.
Funnet skal ha blitt rapportert umiddelbart til LinkedIn sitt sikkerhetsteam, gjennom deres "bug bounty"-program, og blitt belønnet med et beløp på 10.000 dollar - eller 106.000 kroner med dagens kurs.
Dusørjegeren Markus mener mange feil skyldes arbeidsgiverne: - De legger for mye tidspress på utviklerne
Skyldtes en feil i slette-API-et
Prakash forteller at feilen de fant skyldtes mangel på autoriserings-sjekker på POST-forespørseler til slette-API-et til LinkedIn. Mer spesifikt API-et som brukes på mobilsiden deres.
Feilen gjorde at en hacker kunne forandre "objectUrn"-attributtet i forespørselen, en identifikator som er offentlig tilgjengelig for alle poster, og dermed slette andre innlegg.
Slik kunne en av POST-forespørselene se ut:
POST /mwlite/feed/deletePost/?csrfToken=ajax:6083619284478736796 HTTP/1.1
Host: www.linkedin.com
{"objectUrn":"urn:li:activity:6390481093803499520"}LinkedIn tok raskt tak
Prakash sier de sendte over en steg for steg guide til LinkedIn da de meldte fra om feilen, hvor de blant annet bruker programvaren Burp Suite for å dokumentere feilen.
LinkedIn skal ha rettet feilen 11. april.
