Twitter แก้ไขช่องโหว่ที่อาจเปิดเผยข้อความส่วนตัวของผู้ใช้

ช่องโหว่ใหญ่ในแพลตฟอร์ม Application Programming Interface (API) ในระหว่างเดือนพฤษภาคม 2017 ถึง 10 กันยายน 2018 ได้รับการแก้ไขภายในไม่กี่ชั่วโมง

Twitter แก้ไขข้อผิดพลาดที่เชื่อว่าจะเปิดเผย Direct Messages (DMs) ของผู้ใช้ จากการเข้าถึงโดยไม่ได้รับอนุญาต

จากที่ Twitter แถลงการณ์เกี่ยวกับข้อบกพร่องใน Account Activity API (AAAPI) ที่ทำให้ผู้พัฒนาสามารถสร้างเครื่องมือเพื่อเข้าถึงข้อมูลผู้ใช้ได้

ทาง Twitter เขียนให้หน้า Support ว่า “ถ้าคุณกำลังใช้งานบัญชี Business ของ Twitter ที่นักพัฒนาใช้ AAAPI เพื่อให้บริการ ข้อความ Direct Messages (DM) ของคุณอาจถูกส่งไปให้นักพัฒนารายอื่นๆโดยไม่ตั้งใจ”

โดยข้อผิดพลาดนี้ส่งผลตั้งแต่พฤษภาคม 2017 และได้รับการแก้ไขภายในเวลาไม่กี่ชั่วโมงหลังจากพบช่องโหว่ในวันที่ 10 กันยายน 2018 จำนวนผู้ที่คาดว่าจะได้รับผลกระทบมีประมาณ 1% ของผู้ใช้ Twitter หรือประมาณ 3.35 ล้านคน ซึ่งทาง Twitter ก็ได้แจ้งไปทางผู้ใช้ที่ได้รับผลกระทบเรียบร้อยแล้ว

ทาง Twitter ยืนยันว่าได้ติดต่อไปทางนักพัฒนาของ Twitter ที่มีมากกว่าร้อยรายและสั่งให้ลบข้อมูลที่ไม่สมควรเก็บ

จากสำนักข่าว CNBC โฆษกของ Twitter บอกว่าพวกเขาไม่พบหลักฐานการนำข้อมูลที่ได้จากข้อผิดพลาดไปใช้ และช่องโหว่จำเป็นต้องอาศัยหลายปัจจัยที่ข้อมูลดังกล่าวจะหลุด

ในเดือนพฤษภาคมของปี 2018 ทาง Twitter เตือนผู้ใช้ทั้งหมดของพวกเขาให้เปลี่ยนรหัสผ่าน หลังจากพบข้อผิดพลาดของระบบที่เก็บข้อมูลเป็นตัวอักษรในบันทึก ซึ่งทาง Twitter ก็บอกว่าไม่มีหลักฐานการนำข้อมูลไปใช้

Author: Tomáš Foltýn
Source: https://www.welivesecurity.com/2018/09/26/twitter-patches-bug-may-spilled-users-private-messages/
Translated by: Worapon H.