Przeglądarka Microsoft Edge wydaje się mieć poważną lukę w zabezpieczeniach hasłem. Ostatnie raporty ujawniają, że osoby atakujące lub hakerzy mogą łatwo uzyskać hasło użytkownika i pliki cookie do kont internetowych. Luka została odkryta przez eksperta ds. Bezpieczeństwa Manuela Caballero, kogoś z dużym doświadczeniem w wykrywaniu błędów i wad programu Edge i Internet Explorer.

Atakujący mogą ominąć ochronę SOP Edge'a

Luka umożliwia atakującemu załadowanie i wykonanie złośliwego kodu przy użyciu identyfikatorów URI danych, znacznika odświeżania meta i stron bezdomnych, takich jak about: blank. Ta technika wykorzystywania ma wiele odmian, a Caballero pokazał, w jaki sposób haker może wykonać kod w głośnych witrynach, oszukując użytkowników w celu uzyskania dostępu do złośliwego adresu URL.

Caballero pokazał trzy wersje demonstracyjne, w których wykonał kod na stronie głównej Bing, opublikował tweeta w imieniu innego użytkownika oraz ukradł hasło i pliki cookie z konta na Twitterze.

Ostatni atak ponownie ujawnił błąd bezpieczeństwa w projektowaniu nowoczesnych przeglądarek: zdolność hakera do wylogowania użytkownika, załadowania strony logowania i kradzieży poświadczeń użytkownika automatycznie wypełnianych przez funkcję autouzupełniania hasła przeglądarki.

Luka jest nadal niezałatana. Z tego powodu Caballero zapewnił wersje demonstracyjne do pobrania, aby użytkownicy mogli sprawdzić kod źródłowy i upewnić się, że ich hasła i pliki cookie nie są nigdzie przesyłane.

Ataki są automatyzowane przez złośliwe reklamy

Wydaje się również, że ataki można dostosować do zrzucania haseł lub plików cookie innych usług internetowych, takich jak Amazon, Facebook i innych. Dotyczy to tylko Edge'a, ponieważ „ obejścia UXSS / SOP są zazwyczaj specyficzne dla każdej przeglądarki ”.

Nowoczesne reklamy dostarczają kod JavaScript do przeglądarek i dlatego osoby atakujące mogą ułatwiać kampanie reklamujące, aby zautomatyzować dostarczanie tego exploita do ogromnej liczby ofiar.

Aby uzyskać więcej informacji, przeczytaj opis techniczny problemu Caballero.