Úgy tűnik, hogy a Microsoft Edge böngészőjében súlyos a jelszó sérülékenysége. A legfrissebb jelentések azt mutatják, hogy a támadók vagy a hackerek könnyen beszerezhetnek felhasználói jelszavakat és cookie-fájljaikat az online fiókokhoz; ezt a biztonsági rést Manuel Caballero biztonsági szakértő fedezte fel, aki nagy tapasztalattal rendelkezik az Edge és az Internet Explorer hibáinak és hibáinak feltárásában.

A támadók megkerülhetik az Edge SOP védelmét

A biztonsági rés lehetővé teszi, hogy a támadó betöltse és futtasson rosszindulatú kódot adat-URI, Meta frissítési címke és olyan domain nélküli oldalak segítségével, mint például: about: blank. Ennek a kizsákmányolási technikának számos változata van, és Caballero megmutatta, hogy a hackerek hogyan tudják végrehajtani a kódot magas profilú webhelyeken, csak azzal, hogy megtévesztik a felhasználókat egy rosszindulatú URL-cím elérésére.

Caballero három demót mutatott be, amelyekben végrehajtotta a kódot a Bing honlapján, egy másik felhasználó nevében csipgette, és ellopta a jelszó és a cookie-fájlokat egy Twitter-fiókból.

Az utolsó támadás újból felfedte a biztonsági hibát a modern böngészők kialakításában: a hackerek képessége kijelentkezni egy felhasználót, betölteni egy bejelentkezési oldalt, és ellopni a felhasználó hitelesítő adatait, amelyeket a böngésző automatikusan kitölti a jelszó automatikus kitöltésével.

A biztonsági rés még nem elérhető. Ezért a Caballero letöltési demokat nyújtott, így a felhasználók megvizsgálhatják a forráskódot, és ellenőrizhetik, hogy jelszavaikat és sütiket sehol nem töltik fel.

A támadásokat automatikusan elrontják

Úgy tűnik továbbá, hogy a támadások testreszabhatók több online szolgáltatás, például az Amazon, a Facebook és a többi jelszavak vagy sütik eldobására. Csak az Edge érinti, mert „az UXSS / SOP megkerülések általában az egyes böngészőkre jellemzőek ”.

A modern hirdetések JavaScript kódot szolgáltatnak a böngészőknek, ezért a támadók megkönnyíthetik a hamis hirdetési kampányokat, hogy automatizálják a kizsákmányolás hatalmas mennyiségű áldozat számára történő továbbítását.

További információt a Caballero műszaki leírásáról olvashat.