tweetdeck漏洞允许攻击者远程执行代码

如今，TweetDeck中新发现的一个漏洞允许攻击者远程执行javascript代码。用户报告弹出窗口显示“哟！”或者“请现在关闭TweetDeck[sic]，这是不安全的。”Twitter关闭了所有版本的TweetDeck，直到bug被修复，但现在已经恢复了应用程序，报告说他们的修复程序正在按预期工作。用户将被指示注销其帐户并重新登录以激活修复程序。...

用户将被引导注销并登录以激活修复程序

当客户端未被修补时，攻击允许用户在浏览器的其他地方执行自己的javascript代码。到目前为止，大多数报告的攻击都是简单的弹出消息，但存在更复杂攻击的可能性。据信，该漏洞仅限于基于web的TweetDeck版本，但其他用户报告说，TweetDeck的Windows应用程序中也存在类似的攻击。

该漏洞针对XSS，简称“跨站点脚本”，这是web应用程序中安全漏洞最丰富的来源之一。研究人员过去曾报道过TweetDeck中的XSS漏洞，最明显的是2011年的Mikko Hypponen，但开发者几乎立即报告了该漏洞的修复，大多数人认为这是一个封闭的问题。目前尚不清楚脆弱性是如何恢复的。

一次攻击利用该漏洞触发TweetDeck的Retweet命令，导致任何易受攻击的客户端自动将字符串转发给其追随者。其结果是Twitter相当于一个蠕虫，从一个帐户传播到另一个帐户。许多受欢迎的帐户都受到了该漏洞的攻击，包括@NYTimesBusiness、@Vulture、@ScienceNews、@YourAnonNews、@Salon和@SFGate。

不过，正如蒂莫西B。Lee，TweetDeck的结构意味着这个bug只能在TweetDeck的正常权限内工作，严重限制了潜在的影响。因此，尽管转发蠕虫在社交媒体管理者中造成了严重破坏，但它似乎让更敏感的数据和基础设施没有受到影响。

发表于 2021-04-26 14:53
阅读 ( 70 )
分类：互联网

你可能感兴趣的文章

whatsapp违规：更新应用程序以保持安全

...）访问系统内存的地方，它不应该也访问系统内存。如果攻击者能够找出如何在未经授权的内存区域中运行代码，他们就可以执行恶意的操作，这就是这里发生的情况。 ...

发布于 2021-03-20 16:46
阅读 ( 208 )

微软周二发布的补丁修复了zero day漏洞和其他严重漏洞

...在Windows操作系统内核Win32k中提升权限。如果受到攻击，攻击者可以使用提升的权限执行代码，从而可以完全控制目标系统。 ...

发布于 2021-03-26 17:30
阅读 ( 210 )

微软在2020年星期二的最后一个补丁中提供了关键的更新

...序都非常重要，必须尽快安装。远程代码执行有效地允许攻击者远程访问和更改计算机。 ...

发布于 2021-03-29 03:50
阅读 ( 193 )

个人电脑公司在安全方面越来越马虎

...acOS被称为“High Sierra”，它有一个巨大的安全漏洞，使得攻击者可以快速以root身份登录，只需在没有密码的情况下尝试登录几次就可以完全访问你的电脑。这可以通过屏幕共享远程实现，甚至可以绕过用于保护文件的FileVault加...

发布于 2021-04-06 23:57
阅读 ( 212 )

英特尔管理引擎，解释：微型计算机内的cpu

...一个现代系统与英特尔处理器意味着它是一个多汁的目标攻击者。什么是情报我(intel me)？那么什么是英特尔管理引擎呢？英特尔提供了一些常规信息，但它们避免解释英特尔管理引擎执行的大多数特定任务以及它的具体工作...

发布于 2021-04-07 01:59
阅读 ( 193 )

新的iphone更新修复了安全漏洞，所以最好尽快安装

...应用程序可能会提升权限”，在WebKit更新下，它说“远程攻击者可能会导致任意代码执行”。在这两个声明之后，更新说明说，“Apple意识到一份报告说，这个问题可能已被积极利用。” 这意味着，你应该尽快更新你...

发布于 2021-04-16 21:09
阅读 ( 150 )

microsoft修补了严重的远程桌面漏洞，在30天内发出攻击警告

...决了远程桌面协议（RDP）中的一个严重缺陷。该漏洞允许攻击者在启用远程桌面的未修补系统上远程执行代码。微软的远程桌面协议在较新的Windows安装中默认禁用，允许用户远程连接到Windows桌面或服务器，在企业客户中广泛使...

发布于 2021-04-21 15:34
阅读 ( 98 )

微软警告说，谷歌安全团队发现的windows xml漏洞受到了积极攻击

微软周二表示，它已经意识到针对Windows中一个关键XML漏洞的主动攻击。该漏洞影响所有受支持的Windows和Office 2003/2007版本，允许黑客在用户使用Internet Explorer访问恶意网站时远程执行代码。谷歌的安全团队发现了微软XML组件中的...

发布于 2021-04-22 18:30
阅读 ( 122 )

远程擦除攻击不仅限于三星手机，android拨号器可能是罪魁祸首

昨天，我们报道了三星**上的一个漏洞，该漏洞可能允许恶意网站擦除用户的设备，但新的细节正在曝光，表明该问题超出了三星的产品线范围——一些Android版本中的拨号程序可能是由这一原因造成的。迪伦·里夫写道，他能够...

发布于 2021-04-24 05:17
阅读 ( 216 )

随着网络攻击的蔓延，专家们警告网络攻击和互联网崩溃

...效的。与Heartbleed不同，Bash攻击允许远程代码执行，允许攻击者利用该漏洞进行恶意软件分发。大多数来自该漏洞的攻击都会针对web服务器和网络设备，专家表示，基于PHP的web应用程序将特别容易受到攻击。像智能家电这样的联...

发布于 2021-04-27 12:53
阅读 ( 152 )

tweetdeck漏洞允许攻击者远程执行代码

你可能感兴趣的文章

相关推荐