Atrodo, kad „Microsoft Edge“ naršyklėje yra didelis slaptažodžio pažeidžiamumas. Naujausi pranešimai rodo, kad užpuolikai ar įsilaužėliai galėjo lengvai gauti internetinių paskyrų vartotojo slaptažodį ir slapukų failus. Tai pažeidžiamumas, kurį atrado saugumo ekspertas Manuelis Caballero - kažkas, turintis didelę „Edge“ ir „Internet Explorer“ klaidų ir trūkumų išaiškinimo patirtį.

Užpuolikai gali apeiti „Edge“ SOP apsaugą

Dėl pažeidžiamumo užpuolikas gali įkelti ir vykdyti kenksmingą kodą naudodamas duomenų URI, „Meta refresh“ žymą ir puslapius be domenų, pvz., Apie: tuščią. Ši išnaudojimo technika turi daug variantų, o „Caballero“ parodė būdus, kaip įsilaužėlis galėtų vykdyti kodą aukšto lygio svetainėse, tiesiog apgaudinėdamas vartotojus prieiti prie kenksmingo URL.

„Caballero“ parodė tris demonstracijas, kuriose jis vykdė kodą „Bing“ pagrindiniame puslapyje, perskambino kito vartotojo vardu ir pavogė slaptažodį bei slapukų failus iš „Twitter“ paskyros.

Paskutinė ataka dar kartą atskleidė saugos klaidą kuriant šiuolaikines naršykles: įsilaužėlių galimybė atsijungti nuo vartotojo, įkelti prisijungimo puslapį ir pavogti vartotojo kredencialus, automatiškai užpildytus naršyklės slaptažodžio automatinio užpildymo funkcija.

Pažeidžiamumas vis dar neištaisytas. Dėl šios priežasties „Caballero“ pateikė atsisiuntimo demonstracines versijas, kad vartotojai galėtų patikrinti šaltinio kodą ir įsitikinti, kad jų slaptažodžiai ir slapukai niekur nėra įkelti.

Išpuoliai automatizuojami klaidinant

Taip pat atrodo, kad atakas galima pritaikyti norint išmesti daugiau internetinių paslaugų, tokių kaip „Amazon“, „Facebook“ ir dar daugiau, slaptažodžius ar slapukus. Tai turi įtakos tik kraštui, nes „ UXSS / SOP aplinkkeliai paprastai būdingi kiekvienai naršyklei “.

Šiuolaikiniai skelbimai pateikia „JavaScript“ kodą naršyklėms, todėl užpuolikai gali palengvinti iškraipymo kampanijas, kad automatizuotų šio išnaudojimo pristatymą didžiuliam aukų skaičiui.

Norėdami gauti daugiau informacijos, galite perskaityti „Caballero“ techninį leidimo aprašą.