[NEWS] Twitter bucato da onmouseover

[c.m.g]

martedì 21 settembre 2010

Spoiler:

Si consiglia di accedere solo via client e di non passare per nessun motivo il cursore sulle bande nere dei tweet corrotti. Al momento le prime notizie non rivelano gli autori dell'attacco - UPDATE

UPDATE (17:00): Twitter ha comunicato di aver individuato e corretto una falla XSS sulla piattaforma.

Roma - Che qualcosa non vada è evidente appena si accede al proprio account Twitter: bande nere o comunque scure a rendere illeggibili i tweet. E, allargando la pagina e diminuendo la dimensione dei caratteri, un'enorme scritta blu in verticale a riempire il resto della pagina. Twitter è stato attaccato: l'offensiva è stata già soprannominata onmouseover. Sconosciuti al momento gli autori dell'azione, che mette in luce qualche tipo di vulnerabilità nel codice del servizio di microblogging.

Il consiglio, per arginare l'offensiva, è non utilizzare il web ma un client (Tweetdeck, Twitterrific ecc). E in ogni caso è vivamente consigliato di non cliccare/passare il mouse su link, codici e colori presenti nei tweet. Si aprono infatti automaticamente link, tra cui siti pornografici e presumibilmente portatori di malware. Il risultato cambia a seconda del browser e del sistema operativo in uso.

Sarebbe stata sfruttata una vulnerabilità che permette a messaggi pop-up e siti terzi di aprirsi all'interno del browser anche solo passandoci sopra con il cursore, e che veniva già usata dagli utenti per giochi e divertimento.

Il tutto è dilagato velocemente, e intorno alle 14 ora italiana nella maggior parte dei tweet si legge:

"http://a.no/@"onmouseover=";$('textarea:first').val(this.innerHTML);$('.status-update-form').submit()" style="color:#000;background:#000;/

Una volta diffusa la notizia dell'attacco, e probabilmente grazie ai consigli e al passaparola, il numero di tweet corrotti sembra essere rapidamente diminuito.

Claudio Tamburrino





Fonte: Punto Informatico

[c.m.g]

Twitter bucato e riparato su downloadblog

Twitter, la falla è tornata per errore su webnews

Twitter, alle origini del caos su punto informatico

Twitter giustifica l'incidente, spiega OAuth e avvia http://t.co/ su downloadblog

[c.m.g]

correlata:
Lo short URL di Twitter non è sicuro: WTF è un worm su downloadblog