Os utilizadores do Twitter podem partilhar conteúdos em vários formatos na plataforma, mas certas extensões são impossíveis de colocar na plataforma. Algo que o Twitter permite é, no entanto, o envio de imagens… mesmo que sejam na verdade um arquivo MP3 ou ZIP.
O investigador de segurança David Buchanan revelou ter descoberto uma falha no sistema de processamento de imagens do Twitter, que basicamente permite que imagens partilhadas na plataforma possam ser adulteradas para incluir outro género de conteúdos, como ficheiros ZIP ou até MP3. Um utilizador pode simplesmente enviar a imagem para o Twitter, e alterando a extensão, possui acesso a outro género de ficheiros.
Segundo o investigador, apesar de a imagem ser carregada para o Twitter como um ficheiro PNG, se a mesma for descarregada para um sistema e a sua extensão modificada, pode ser convertida para outro género de ficheiros – no exemplo deixado pelo investigador foram usados ficheiros ZIP e uma música MP3.
Para o Twitter, como a imagem é um ficheiro PNG, este apresenta o mesmo como sendo uma foto tradicional no Tweet final. A conversão é feita quando o utilizador descarrega o ficheiro e altera a extensão.
O método e código necessário para explorar esta falha encontram-se acessíveis no GitHub do investigador. De notar que esta apenas funciona quando são descarregadas as imagens em resolução completa – apenas a imagem de preview do conteúdo poderá não funcionar.
Apesar de ser um método engraçado, é importante sublinhar que esta falha pode abrir portas para possíveis explorações maliciosas – e como tal deve-se ter atenção aos conteúdos que são efetivamente descarregados da rede social.
Até ao momento ainda se desconhece se o Twitter vai resolver a falha – a qual ainda pode ser explorada para os interessados.
Nenhum comentário
Seja o primeiro!