Kritisk fejl hos Facebook og MySpace

Hvis du har oploadet billeder til enten Facebook eller MySpace, bør du læse videre her.

It-kriminelle har nemlig fundet en måde at udnytte de to populære hjemmesider på.

Der er tale om en 0-dags sårbarhed i en ActiveX kontrol, der installeres i forbindelse med upload af billedupload, oplyser Peter Kruse, der er virusanalytiker hos CSIS.

CSIS har modtaget rapporter om, at sårbarheden allerede misbruges aktivt af it-kriminelle.

»Da både MySpace og Facebook er yderst populære tjenester - også hos mange brugere i danske virksomheder, betragter vi disse sårbarheder som høj risiko,« lyder advarslen fra Peter Kruse.

Problemet skyldes et buffer overflow i en ActiveX kontrol udviklet af Aurigma Imaging Technology og som specifikt anvendes i forbindelse med image-upload. Brugere af for eksempel MySpace og Facebook, som har uploadet billeder til deres personlige profil, har accepteret installation af den sårbare ActiveX kontrol. Det muliggør kørsel af vilkårlig kode, hvis brugeren kan lokkes til at besøge en fjendtligt webside.

Problemet findes i følgende komponenter:

- MySpace uploader "MySpaceUploader.ocx" med CLSID (48DD0448-9209-4F81-9F6D-D83562940134)

- Facebook Photo Uploader 4 "ImageUploader4.1.ocx" med CLSID (5C6698D9-7BE4-4122-8EC5-291D84DBD4A0).

Hvis it-kriminelle skal have held til at tvinge sig adgang til din eller dit firmas computere, skal javascripting være slået til i browseren, når du efterfølgende besøger den fjendtlige hjemmeside.

Yderligere oplysninger hos SecurityFocus:
[1]
[2]
[3]

Ifølge Peter Kruse er en patch af fejlen under udarbejdelse.