多个高危新型Web漏洞现身主流社交网站

2012年04月03日  来源： 新华网

新华网天津４月２日电 国家计算机网络入侵防范中心近日在国内外多家主流社交网站及应用中发现了多个Ｗｅｂ新型漏洞。对漏洞的分析表明，社交网站的安全隐私问题将不再局限于其自身，而已经扩展到了大量第三方应用。社交网络开始面临新的攻击威胁。

　　国家计算机网络入侵防范中心常务副主任张玉清领导的课题组首先发现了这种最新漏洞，均为ＪａｖａＳｃｒｉｐｔ脚本执行漏洞。这种新型Ｗｅｂ漏洞类似于传统的跨站脚本（ＸＳＳ）漏洞，不同之处在于这种漏洞的利用都是基于Ｗｅｂ　ＡＰＩ进行的。因此，课题组形象地将这种新型Ｗｅｂ漏洞命名为“跨ＡＰＩ脚本（Ｃｒｏｓｓ－ＡＰＩ　Ｓｃｒｉｐｔｉｎｇ，简称ＸＡＳ）漏洞”。

　　张玉清说，由不安全ＡＰＩ导致的ＸＡＳ漏洞存在于大量主流社交网站及应用中，包括人人网、腾讯微博、新浪轻博客、搜狐微博、Ｆａｃｅｂｏｏｋ　ｉＧｏｏｇｌｅ　Ｇａｄｇｅｔ、Ｔｕｍｂｌｒ轻博客、社交聚合应用Ｈｏｏｔｓｕｉｔｅ等等。

　　这种新型ＸＡＳ安全漏洞大多属于高危Ｗｅｂ漏洞，可以被利用进行蠕虫攻击、钓鱼攻击、窃取用户隐私等，严重威胁到社交网络及其用户的安全和隐私。

　　目前，这些社交网站尚未发布相应的解决方案和更新补丁。国家计算机网络入侵防范中心将与相关社交网站配合，共同修复这种新型Ｗｅｂ高危漏洞，同时建议广大用户做好安全防护，增强使用社交网络的安全意识，防止黑客攻击。（张建新）