Problema impedia a publicação de mensagens no site.
Bug se espalhou rapidamente e atingiu milhares de usuários no mundo.
Após um ataque que utilizou uma falha de segurança no site do Twitter na manhã desta terça-feira (21), o microblog identificou o bug e corrigiu o problema, normalizando o serviço para todos os usuários. A falha impediu que milhares de usuários publicassem mensagens no site e que, ao passar o mouse em cima de um código publicado por outro usuário, bagunçava a interface, espalhando o problema para outras pessoas.
Usuários que utilizavam programas como o Tweetdeck e o Twhirl e o serviço pelo iPhone, por exemplo, não foram afetados pelo problema, que atacou apenas o site do Twitter.
A falha de segurança de XSS (Cross-site scripting) apresenta códigos que são injetados em uma página por meio de um link. De acordo com o colunista de segurança do G1, Altieres Rohr, "a falha foi provocada por um erro no processamento de links no Twitter. O código coloca um "@" [sinal de link para outro usuário do Twitter] dentro de um link comum [começado com http://], o que confunde o site. Com isso, foi possível injetar um código 'onmouseover', que é ativado quando se passa o mouse por cima do link [onmouseover em português significa 'quando o mouse está em cima']. O código injetado 'clicava' no botão RT pela vítima, passando o vírus adiante". Ele complementa, dizendo que "diferentemente do vírus anterior que se espalhou no Twitter, o código usava um elemento da própria página [o botão RT] para se espalhar e não houve roubo de cookies – que permitiriam o acesso total às contas afetadas – embora isso fosse possível".
Segundo mensagem divulgada pelo Twitter, diversos crackers tentam utilizar falhas de XSS e outras no site. Uma das mais comuns é um link que, ao passar o mouse por cima (sem clicar), leva o usuário para um site pornográfico ou malicioso automaticamente.
Durante a manhã desta terça, algumas pessoas conseguiram resolver o problema ao deletar as mensagens "nocivas". Para fazer isso, bastava entrar na "timeline" do usuário, ou seja, na página em que aparecem todas as mensagens publicadas pela pessoa, e clicar no botão delete ao lado do post "infectado".
Nenhum comentário:
Postar um comentário