Zugriff auf gesperrte StudiVZ-Fotoalben möglich [Update]
Durch eine einfache Manipulation der URL lassen sich nicht freigegebene Fotoalben beliebiger Studi- und MeinVZ-Nutzer aufrufen. Die Betreiber kennen das Problem und wollen es irgendwann beheben.
- Daniel Bachfeld
Die Betreiber der Social-Networking-Seiten StudiVZ, MeinVZ und SchülerVZ wollen in einem kommenden Software-Release eine Schwachstelle in ihren Portalen beseitigen, durch die der Einblick in nicht freigegebene Fotoalben möglich ist. Zwar sind die gesperrten Alben in den Profilen der Nutzer nicht verlinkt, durch eine einfache Manipulation der URL lassen sie sich jedoch ohne Weiteres aufrufen. Das Problem ist offenbar erst mit der kürzlichen Umstellung der Albenansichten entstanden, nähere Details werden allerdings erst nach der Beseitung der Schwachstelle veröffentlicht.
Auf einen Hinweis von heise Security zu dem Problem antwortete Dirk Hensen von StudiVZ mit den knappen Worten: "Der von Ihnen angesprochene Sachverhalt ist uns bekannt und wird mit dem kommenden Release behoben." Wann dies sein soll, beantwortete Hensen auch auf weitere Nachfragen nicht. Nutzer der VZ-Portale sollten sich überlegen, welche Fotos sie in die Portale einstellen, wenn sie nicht Gefahr laufen wollen, dass peinliche respektive kompromittierende Fotos an die Öffentlichkeit gelangen. Beispielsweise weisen Bewerbungstrainer immer wieder darauf hin, dass Personalberater die Portale nach Fotos von Bewerbern durchsuchen – die Fotos von der letzten Party könnten unter Umständen Anlass für eine Absage sein.
Update StudiVZ hat mitgeteilt, dass heute Mittag eine neue Software-Version installiert wurde, die das Problem behebt. (dab)
