X (旧Twitter)のURLカードに致命的な脆弱性。うかつに開かないで | ニッチなPCゲーマーの環境構築Z

X (旧Twitter)のURLカードに致命的な脆弱性が見つかりました。海外メディアのBleeping Computerが報じました。 XのURLカード(Webサイトカード、Twitterカードなどとも呼ばれる)を開いた際、カードの左下に表示されているURLとはまったく違うサイトが表示されたことはないだろうか。 例えば以下の例では、『forbes.com』がリンク先として表示されているが、実際にこのURLカードを開くと、仮想通貨詐欺のTelegramアカウントページが開く。 リンク先に『forbes.com』と書いているが 実際には詐欺のTelegramアカウントページが開く いったいなぜこのようなことが起こるのか、仕組みはこうだ。URLカードを開くと、まず、『joinchannelnow［.］net』というサイトにアクセスする。 まず『joinchannelnow［.］net』へとアクセ

[uzuky]

短縮URLサービスが流行ったときから、そのドメインは(可用性も含めて) 信頼できるのかみたいなのはあったし、UA見てIE用のページにするのなんてもっとずっと前からあったので、ロケーションバーだけが常に正しいんだよ

[mopx]

広告主に大打撃じゃん。迂闊に踏めないとか、広告出す意味ない。

[pixmap]

X上の表示をXが意図しない形で操られるという意味での脆弱性。「致命的な脆弱性」というのとはちょっと違うような

[solidstatesociety]

リーチの記録を載せる仕組みを利用してる。オープンリダイレクトのサービスではよくある仕組み

[gogatsu26]

“User-Agentを解析して、人間が使っている普通のブラウザであれば詐欺のTelegramアカウントページへと飛ばし、それ以外のXのBOTなどは『forbes.com』へと飛ばす。こうすることで、Xのシステムを騙し、URLカードに『forbes.com』”

[KoshianX]

UAによってリダイレクト先を変えるとこういうことができちゃうのか。知ってる人でもアカウント乗っ取りとかの可能性もあるしなあ。そこから偽サイトに誘導されたりすると危険もあるよなあ

[igrep]

リダイレクト先を見ないように修正すると、短縮URLでの共有時が困るなぁ / と思ったけどBlueskyじゃリダイレクト前のが表示されるし、案外気にしてなかったことに気づいた