Twitter оказался под угрозой из-за проблем приложения TweetDeck

По сообщению издания USA Today, Twitter предпринимает попытки, направленные на устранение уязвимости в популярном приложении TweetDeck. Именно она позволяет хакерам показывать пользователям непонятные всплывающие сообщения, а также заниматься распространением кода, который потенциально вредоносен. 

 

Речь идет о так называемой XSS-уязвимости (cross-site scripting — межсайтовый скриптинг), которая получила достаточно широкое распространение в веб-приложениях. Эта уязвимость предоставляет возможность хакеру внедрить в интернет-страницу, выдаваемую сервисом пользователю, какой-либо произвольный код. А он может оказаться вредоносным. 

 

Намерения злоумышленников в сети при эксплуатации такой уязвимости могут варьироваться. То есть может быть, как неавторизованное размещение рекламы, так и перехват логинов и паролей пользователя.

 

В случае с TweetDeck, принадлежащему с 2011 года компании Twitter, пользователи обнаруживают всплывающие сообщения. Таковыми могут стать, например, Yo! или Please close now TweetDeck, it is not safe. Также сервис в случайном порядке начинает ретвитить сообщения, у которых потенциально вредоносный код. Каковы масштабы инцидента, пока никто так и не сообщил.

 

Можно только сказать, что администраторы TweetDeck объявили накануне в своем Twitter-аккаунте следующее: после того, как уязвимость была выявлена, был временно закрыт доступ к сервису TweetDeck. Реальную опасность испытывают десктопное Windows-приложение TweetDeck, а также веб-версия.

 

 

Есть предположение, что инцидент был спровоцирован 19-летним программистом из Австрии. Он проводил эксперименты с символами в коде. Так он выявил уязвимость, позволяющую вставлять компьютерные команды в твиты. 

 

Программист поделился своим «открытием» с администрацией Twitter. Он также написал обо всем в онлайн-блоге. Проблема только в том, что некоторые хакеры смогли воспользоваться ошибкой, пока Twitter занимался ее устранением.

 

Как объяснили представители TweetDeck, уязвимость уже ликвидировали. Пользователям был дан совет: используя свои данные, выйти из сервиса и снова зайти. Однако, как говорит эксперт по информационной безопасности из компании Rapid7 Трей Форд, последствия ошибки в виде твитов с вредоносным кодом, как и ранее, распространяются на сервисе. 

 

По этой причине до того, как полностью будет устранена проблема, пользователям советуют «отвязать» сервис TweetDeck от своего Twitter-аккаунта.