Vulnerabilidad en Twitter permite enviar mensajes directos sin permiso de los usuarios

El modelo de permisos de las aplicaciones de Twitter es bastante sencillo:

Es decir, si creamos una aplicación que tenga permisos sólo de lectura y escritura no debería acceder a los mensajes directos ¿verdad?

Pues no, Egor Homakov descubrió un bug en Twitter que permite a las aplicaciones enviar mensajes directos sin tener permisos específicos y sin que ni siquiera el usuario que tiene autorizada la aplicación se de cuenta.

Nosotros lo hemos comprobado mediante un cliente en Python con Tweepy. Fijaros que a priori esta aplicación no tiene permisos para enviar mensajes directos:

Pero sin embargo, si ejecutamos un script de prueba veremos el resultado confirmando la vulnerabilidad: #!/usr/bin/env pythonimport sysimport tweepyCONSUMER_KEY = 'xxxxxxxxxxxxxxxxxxxxx'CONSUMER_SECRET = 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'ACCESS_KEY = 'xxxxxxxxx-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'ACCESS_SECRET = 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'auth = tweepy.OAuthHandler(CONSUMER_KEY, CONSUMER_SECRET)auth.set_access_token(ACCESS_KEY, ACCESS_SECRET)api = tweepy.API(auth)api.send_direct_message(screen_name= "hackplayers", text = "prueba")
Al parecer DaKnOb, otro investigador, comentó a Homakov que ya reportó a Twitter este supuesto bug, y que la compañía del pájaro le respondió alegando que era una característica de Twitter y que debería seguir como está... Pero ¿no es si no una oportunidad única para que las aplicaciones maliciosas puedan enviar spam y enlaces maliciosos?

Fuente:  Twitter vulnerability lets apps send DMs without user permission

View the original article here

This post was made using the Auto Blogging Software from WebMagnates.org This line will not appear when posts are made after activating the software to full version.

Usuarios inutilizan sus propias Xbox One al seguir las instrucciones de un bulo en Internet

Hace poco se publicaron en un foro de 4chan instrucciones falsas para que la nueva consola Xbox One pueda cargar los juegos de la antigua 360. 

En el mensaje (ya eliminado) se adjuntaba la imagen de la izquierda y básicamente indicaba cómo poner la Xbox One en modo desarrollo mediante una secuencia que fue descubierta de forma independiente a principios de diciembre y compartida a través de un vídeo de YouTube.

Cualquier usuario que haya seguido estos pasos sin disponer de un ID real de desarrollador no podrá volver a arrancar la consola en modo normal y, por lo tanto, habrá convertido su flamante nueva consola en un bonito y caro "pisapapeles".

"Para ser claro, no hay manera de hacer que su Xbox One sea compatible y realizar los pasos para intentarlo podría hacer que la consola sea inoperable", escribió en un tweet Larry Hryb , director de programación de la red Xbox Live de Microsoft.

No está claro cuántas personas han seguido el falso consejo, pero es un claro ejemplo de lo dañino que puede llegar a ser un bulo (hoax o prank) en Internet...

Fuentes:
Xbox One backwards-compatibility prank breaking consoles 
Warning over 4Chan Xbox One prank
Xbox One: Gamers DESTROY their own consoles in cruel hacking prank

View the original article here

This post was made using the Auto Blogging Software from WebMagnates.org This line will not appear when posts are made after activating the software to full version.