Facebook、他人の写真をすべて削除できる問題を修正

悪意を持ったユーザーがこの問題を悪用すれば、別のFacebookユーザーやグループなどが所有するどんなフォトアルバムでも削除することが可能だったという。

[鈴木聖子，ITmedia]

　Facebookが開発者に提供している「Graph API」を使って他人の写真をすべて削除できてしまう問題があることが分かり、同社がこの問題を修正した。インドの研究者が自身のブログで2月12日に報告した。

　研究者によると、悪意を持ったユーザーがこの問題を悪用すれば、別のユーザーやページやグループなどが所有するどんなフォトアルバムでも削除することが可能だった。

　Graph APIはFacebookアプリの開発に使われていて、開発者がユーザーのデータの読み込みや書き込みを行う手段を提供している。そのためにはアクセストークンを必要とするが、Graph APIのアルバムノードを使っても、フォトアルバムは削除できないはずだった

　ところがFacebookのモバイルアプリを調べた結果、Androidのアクセストークンを使うとフォトアルバムが削除できてしまうことを発見。このやり方で他人の写真をすべて削除できることも確認したという。

研究者がアクセストークンの問題を解説している

　この問題をFacebookのセキュリティチームに報告したところ、確認の連絡があってから2時間足らずで修正されたと研究者は伝えている。