Twitter verwijdert Flash uit veiligheid

Twitter heeft tijdelijk een van zijn functies uitgeschakeld. Een beveiligingsspecialist heeft aangetoond hoe de functie, die is gebaseerd op Flash, kan worden misbruikt om accounts over te nemen.

“We zijn op de hoogte gesteld over een kwetsbaarheid in onze Flashwidget. Uit voorzichtigheid hebben we de toegang afgesloten, terwijl we de situatie bekijken”, zo klinkt het op Twitters statuspagina. Volgens het bedrijf zijn er nog geen aanvallen geweest die de kwetsbaarheid misbruiken.

Inloggegevens gestolen
Het beveiligingsprobleem is aangetoond door Mike Bailey, senior analist bij Foreground Security. Met behulp van een XML-bestand op zijn server kon hij namens andermans account twitteren.

De kwetsbaarheid vereist dat de gebruiker in kwestie klikt op een link terwijl hij of zij is ingelogd op Twitter. Hierdoor worden de inloggegevens gestolen en krijgt de hacker in kwestie volledige toegang tot het account.

Niet met JavaScript
De Flashwidget die het probleem veroorzaakt, wordt vooral gebruikt om tweets op websites te tonen. De JavaScript-versie van de widget heeft het probleem niet en is volgens Bailey een goed alternatief.