Sicherheitslücke
Update: Twitter hat ein Update zum Schließen der XSS-Sicherheitslücke in der TweetDeck-App bereitgestellt, die in diesem Artikel besprochen wird.
Twitter hat die Nutzung seiner eigenen Twitter-App TweetDeck eingestellt, nachdem eine gefährliche Cross-Site-Scripting-Sicherheitslücke entdeckt und von Angreifern bereits im großen Stil ausgenutzt wurde.
Laut Mike Mimoso von Threatpost passiert das Cross-Site-Scripting, wenn ein Angreifer es schafft, eigenen Code in eine Webseite oder einen Internet-basierten Service einzuschleusen, der dann automatisch vom Browser eines Anwenders ausgeführt wird. Hacker, die erfolgreich eine Cross-Site-Scripting-Attacke durchführen, können aus der Ferne Code einschleusen und dann Daten stehlen oder den entsprechenden Service stören.
Ernste Sicherheitslücke in TweetDeck . Nutzer sollten Zugriff sofort sperren.
Tweet
Im Fall von TweetDeck könnte ein Angreifer das Konto des Nutzers übernehmen, Tweets versenden und löschen, oder die Twitter-Seite des Anwenders verunstalten. Der Exploit-Code wurde gestern Morgen getweetet und verbreteitete sich automatisch Zehntausende Male per Retweet.
„Diese Sicherheitslücke führt einen Tweet als Code im Browser aus und erlaubt es, verschiedene Cross-Site-Scripting-Attacken (XSS) nur durch das Ansehen eines Tweets zu starten“, so Trey Ford, Global Security Strategist bei Rapid7 zu Threatpost. „Die aktuelle Attacke, die wir beobachten, ist ein ‚Wurm‘, der sich selbst kopiert, indem er schädliche Tweets erstellt. Es sieht aus, als würde dies vor allem Nutzer des TweetDeck-Plugins für Google Chrome betreffen.“
Wir empfehlen allen Anwendern von TweetDeck, sich in ihr Twitter-Konto einzuloggen und den Zugriff der App auf das Twitter-Konto sofort zu sperren.
Hier ein Video, das genau zeigt, wie Sie den Zugriff sperren können – stellen Sie sich dabei aber vor, die im Video zu sehende iOS-5-App sei TweetDeck, denn das Musterkonto, mit dem das Video produziert wurde, enthielt kein installiertes TweetDeck.
Tipps