Ontwikkelaars vinden belangrijke coderingsfouten in Facebook, MySpace

Sociale netwerksites MySpace en Facebook hebben kennelijk coderingsfouten opgelost die een aanvaller toegang hadden kunnen geven tot alle gegevens en foto's van hun gebruikers.

De eenvoudige codeerfouten zijn alarmerend gezien de mate waarin t

o welke sociale netwerken hun gebruikers hebben gerustgesteld dat hun gegevens veilig zijn. Het probleem betrof de manier waarop die sites met verzoeken om gegevens uit andere domeinen omgaan, ook wel het "domeinoverschrijdende beleid" genoemd.

Sites zoals MySpace en Facebook blokkeren gewoonlijk andere domeinen om privacyredenen om het aanvragen en ontvangen van gegevens, behalve voor hun eigen gescreende subdomeinen.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Facebook verbood toegang van andere applicaties op haar hoofddomein, maar een ontwikkelaar in Nederland, Yvo Schaap, ontdekte dat Facebook gegevens zou toestaan worden gegeven vanuit een van zijn subdomeinen.

Aangezien het subdomein ook alle gegevens van Facebook host, zou het mogelijk zijn om gegevens te stelen door een slachtoffer naar een URL te lokken met een Flash-toepassing die is gemigreerd om de gegevens te pakken als het slachtoffer hun auto-login is ingeschakeld, wat de meeste mensen doen, volgens het blog van Schaap.

Een "meer invasieve en verborgen exploit kan alle persoonlijke foto's, gegevens en berichten van de gebruiker naar een centrale server verzamelen zonder sporen na te laten, en er is geen reden waarom dit zou niet al gebeuren met zowel Facebook- als MySpace-gegevens ", schreef Schaap op zijn blog.

Hij ontdekte ook het probleem op MySpace, waardoor een domein met de naam" farm.sproutbuilder.com "toegang tot gegevens kon krijgen. Een Flash-toepassing kan naar die site worden geüpload, waarna toegang tot de gegevens wordt verleend als een slachtoffer een schadelijke URL heeft bezocht.

Een blik op Facebook's laatste crossdomain.xml-bestand laat zien dat de bug lijkt te zijn opgelost. MySpace lijkt ook "farm.sproutbuilder.com" uit zijn lijst met meerdere domeinen te hebben gehaald.

"Er zijn geen privé MySpace-gegevens bekendgemaakt en het beveiligingslek is nooit misbruikt", zo luidt de verklaring.