101: WikiLeaks revealed
Komponen sumber terbuka yang digunakan untuk memaparkan fail PDF di WikiLeaks.org dan laman web lain mengandungi kelemahan yang boleh dieksploitasi untuk melancarkan skrip silang tapak (XSS) dan serangan spoofing kandungan terhadap pengunjung.
Komponen terdedah disebut FlexPaper dan dikembangkan oleh sebuah syarikat bernama Devaldi, yang berpusat di New Zealand. Syarikat itu mengesahkan isu-isu yang pertama kali dilaporkan pada forum penyokong WikiLeaks, dan melancarkan FlexPaper 2.3.0 untuk menangani mereka.
Walau bagaimanapun, nampaknya komponen itu belum dikemas kini di WikiLeaks.org, yang masih menggunakan FlexPaper 2.1.2 pada beberapa halaman pada hari Selasa.
[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]Insiden itu berlaku selepas Wired dilaporkan minggu lalu bahawa pada tahun 2012 FBI menggunakan komponen berasaskan Flash Menipu pengguna Tor dan mencari IP sebenar mereka (Internet Protocol) alamat dalam operasi yang menargetkan pengguna laman web pornografi kanak-kanak yang dihoskan di rangkaian Tor.
Sejak penonton WikiLeaks 'termasuk banyak pengguna yang menghargai privasi mereka dan tanpa nama, kerentanan apa pun di tapak yang berpotensi digunakan untuk mendedahkan lokasi sebenar mereka mungkin dilihat sebagai ancaman yang serius.
"Memandangkan hakikat bahawa kebanyakan penyemak imbas menggunakan plugin untuk membolehkan pembacaan PDF, kami sangat menggesa WikiLeaks untuk menghubungkan terus ke Fail PDF Ia bukannya menggunakan perisian pihak ketiga yang boleh menyebabkan pengguna berisiko, "kata seorang pengguna bernama Koyaanisqatsi, yang melaporkan kelemahan di forum WikiLeaks.
Itulah yang dilakukan WikiLeaks dengan dua dokumen rahsia mengenai perjalanan melalui lapangan terbang menggunakan ID palsu yang didakwa bocor dari Agensi Perisikan Pusat AS. Laman ini menerbitkan dokumen hari Ahad dan secara langsung dikaitkan dengan fail PDF dan bukannya memaparkannya dalam pemapar tertanam.
Kesilapan dalam penampil PDF sumber terbuka boleh meletakkan pengguna WikiLeaks, yang lain berisiko
Kesilapan boleh dieksploitasi untuk dilancarkan XSS dan serangan spoofing kandungan
Letupan domain peringkat atas generik baru (gTLDs) dalam tahun-tahun kebelakangan ini boleh meletakkan komputer perusahaan berisiko kerana konflik nama antara nama domain dalaman yang digunakan di dalam rangkaian korporat dan domain yang kini boleh didaftarkan di Internet awam.
Letupan domain peringkat atas generik baru (gTLDs) dalam beberapa tahun kebelakangan ini boleh meletakkan komputer perusahaan berisiko kerana konflik nama antara nama domain dalaman yang digunakan di dalam rangkaian korporat dan yang kini boleh didaftarkan di Internet awam.
