TweetDeck, la herramienta para seguir todos los posteos de Twitter, ha reportado una vulnerabilidad de cross-site scripting (XSS), un tipo de vulnerabilidad muy común en aplicaciones web que permite a los hackers inyectar secuencias de comandos en las páginas web para acceder a las cuentas de usuario y la información de seguridad importante.
TweetDeck ha dicho que ha reparado este agujero en la vulnerabilidad, pero aquí estan las respuestas oficiales de la compañía y que posteo en su cuenta de Twitter:
A security issue that affected TweetDeck this morning has been fixed. Please log out of TweetDeck and log back in to fully apply the fix. — TweetDeck (@TweetDeck) junio 11, 2014
We’ve temporarily taken TweetDeck services down to assess today’s earlier security issue. We’ll update when services are back up. — TweetDeck (@TweetDeck) junio 11, 2014
We’ve temporarily taken TweetDeck services down to assess today’s earlier security issue. We’ll update when services are back up. — TweetDeck (@TweetDeck) junio 11, 2014
Trey Ford, estratega global de seguridad de la firma Rapid7, proporcionó mayor detalle del error TweetDeck:
Esta vulnerabilidad hace que muy específicamente se inserte un tweet como código en el navegador, lo que permite diversas secuencias de comandos en sitios cruzados (XSS) que se ejecutará si sólo se consulta un tweet. El ataque actual que estamos viendo es un “gusano que se auto-reproduce creando los tweets maliciosos. Parece que este afecta principalmente a los usuarios del plugin Tweetdeck para Google Chrome.
Ford dijo que cerrar la sesión y volver a entrar debería solucionar el problema, ya que “uno de los ataques XSS más comunes y útiles, se usa para robar la sesión del usuario, lo que permite efectivamente a un atacante acceder al sistema como si fuera usted”. Desafortunadamente, algunos usuarios de Twitter dijeron que esto de “conectarse y desconectarse”, no funcionaba para ellos inicialmente. Además, tratando de no darle retweet al tweet de spam pronunció el siguiente mensaje de error:
Según el programador Chris Williams, Tweetdeck “no estaba desnudando el código scripting de los tweets”, que a su vez permite a cualquiera “ejecutar JavaScript en el contexto de otro usuario”.
La vulnerabilidad según los informes afecta el plug-in de los usuarios de Tweetdeck del navegador Google Chrome. No parecía afectar a la aplicación de escritorio para Mac o Windows, peroa los usuarios todavía se les recomienda cerrar la sesión y volver a iniciarla de nuevo por si acaso.
TweetDeck, el cual fue adquirido por Twitter en 2011 por $40 millones de dólares, y es una aplicación que te pemite manejar multiples cuentas de Twitter en un solo lugar. Muestra los tweets en tiempo real sin tener que refrescar la página.
@astroehlein tweetdeck is not stripping out dangerous scripting code from tweets. So you can run JavaScript in the context of another user — Chris Williams (@diodesign) junio 11, 2014
@astroehlein at the moment, people are just opening alert boxes. Next, there’ll be tweets trying to steal login tokens etc — Chris Williams (@diodesign) junio 11, 2014
