Bug fuiteur pour une API Twitter

Posted On 21 Sep 2018

Tag: AAAPI, Account Activity API, API Twitter

Un bug, apparu en mai 2017, faisait fuiter des informations via une API Twitter. Le petit oiseau vient de corriger le problème.

Un bug dans une API Twitter, apparu en mai 2017, corrigé chez Twitter. Impact de ce bug, 1% des utilisateurs dans le monde. Quelques heures après sa découverte, le 10 septembre 2018, Twitter a mis en œuvre un correctif pour empêcher tout envoi involontaire d’informations à des développeurs non autorisés via cette API (API = Application Programming Interface). Si vous avez interagi sur Twitter avec un compte ou une entreprise travaillant avec un développeur qui exploite l’AAAPI (Account Activity API), ce bug a pu communiquer involontairement certaines infos à un autre développeur inscrit au même programme.

Messages privés impactés

Dans certains cas, cela pouvait concerner des Messages Privés ou Tweets protégés. Il est important de noter que, d’après les premières analyses Twitter, une série complexe de circonstances techniques s’est produite à un moment, et a entraîné ce bug et le partage des informations.

https://twitter.com/ClinW/status/1043227071080816640

Etes-vous impacté ?

Pour conclure, Twitter vous contactera directement via un message dans l’application, ainsi que sur twitter.com. « Nous travaillons avec nos partenaires pour nous assurer qu’ils respectent leurs obligations en matière de suppression des informations dont ils ne devraient pas disposer. ».

Pendant ce temps chez Microsoft

Le géant américain est en train de plancher sur un patch urgent visant un 0Day. Une faille non publique à l’encontre de Microsoft JET Database Engine. Une manipulation d’un Jet particulièrement écrit peut permettre une infiltration via, par exemples, MS Access ou encore Visual Basic. La faille a été découverte en mai 2018 par un chercheur de chez Trend Micro, Lucas Leong. La rustine sortira dans le prochain Patch Tuesday de Microsoft, deuxième mardi du mois d’octobre.

Au sujet de l'auteur

Damien Bancal (damienbancal.fr) est un expert internationalement reconnu en cybersécurité. Il a fondé le projet Zataz en 1989. ZATAZ.com est devenu une référence incontournable en matière d'information sur la sécurité informatique et les cybermenaces pour le grand public. Avec plus de 30 ans d'expérience, Damien Bancal s'est imposé comme une figure majeure dans ce domaine, contribuant à la sensibilisation et à la protection des internautes contre les cyberattaques. Sa carrière est marquée par une forte implication dans l'éducation à la cybersécurité, notamment à travers des conférences et des publications spécialisées. Il est l'auteur de plusieurs ouvrages (17) et articles (plusieurs centaines : 01net, Le Monde, France Info, Etc.) qui explorent les divers aspects du piratage informatique et de la protection des données. Il a remporté le prix spécial du livre du FIC/InCyber 2022. Finaliste 2023 du 1er CTF Social Engineering Nord Américain. Vainqueur du CTF Social Engineering 2024 du HackFest 2024 (Canada). Damien Bancal a également été largement reconnu par la presse internationale dont le New York Times, qui souligne non seulement son expertise mais aussi son parcours inspirant. Par exemple, un portrait de La Voix du Nord le décrit comme "Monsieur Cybersécurité", soulignant son influence et son rôle essentiel dans ce domaine. Enfin, il figure parmi les personnalités les plus influentes dans la cybersécurité, comme le souligne Le Big Data, et a été classé parmi les 500 personnalités tech les plus influentes en 2023 selon Tyto PR. Chroniqueur TV et Radio (France Info, M6, RTL, Medi1, Etc.) Volontaires de la réserve citoyenne - Gendarmerie Nationale et de l'Éducation Nationale. Médaillé de la DefNat (Marine Nationale) et de la MSV (Gendarmerie Nationale). Entrepreneur, il a lancé en 2022 la société veillezataz.com.