Rss-feeds vormen risico voor uw computer

De waarschuwing werd gedaan door Robert Auger, engineer bij SPI Dynamics Security, in zijn presentatie tijdens de Black Hat conferentie in Las Vegas. Auger zei dat elke feed misbruikt kan worden en dat alle rss-readers, off- en online, kwetsbaar zijn.

Nog verontrustender is dat rss-aanvallen gedaan kunnen worden via betrouwbare websites. Sommige weblogs voegen aan een rss-feed de reacties toe op een blogbericht. Een hacker hoeft alleen maar de Javascript-code in zijn commentaar te verstoppen om de malware te distribueren naar de duizenden abonnees op de rss-feed. Hackers kunnen ook hun eigen weblog beginnen en op deze manier malware verspreiden. Auger denkt echter dat hackers niet de moeite zullen nemen zelf een weblog te beginnen en te onderhouden, maar dat ze bestaande rss-feeds van succesvolle blogs zullen gebruiken.

Rss-feeds zijn onveilig omdat de makers van rss-applicaties nooit goede beveiligingscontroles hebben ingebouwd in hun programma’s. Een online rss-reader die kwetsbaar is voor een Javascript-aanval is Bloglines. Kwetsbare offline readers zijn RSS Owl, Feed Demon en Sharp Reader. Volgens Auger zijn nog veel meer rss-readers lek en hij is druk bezig contact op te nemen met alle aanbieders om ze te waarschuwen voor het lek in hun software.

Om uw computer te beschermen, adviseert Auger om in de opties van de rss-reader het automatisch starten van scripts, applets en plug-ins uit te schakelen.