Microsoft Edge-webbrowser. Lesoir
Netsparkers sikkerhedsforsker, Ziyahan Albeniz, opdagede en sårbarhed i Microsofts Edge-browser, der tillod spredning af malware. Han offentliggjorde sine resultater den CVE-2018-0871 ( CVSS 3.0 Base Score på 4.3) i sin rapport med titlen “ Udnyttelse af en Microsoft Edge-sårbarhed til at stjæle filer . '
Albeniz forklarede, at sårbarheden kom ud af en funktionsrelateret fejl med samme oprindelsespolitik. Ved udnyttelse kunne sårbarheden bruges til at sprede malware, der kan udføre phishing og informationsstjæling. En stor faktor i spredningen af malware gennem denne kanal var brugerens eget input til download af den ondsindede fil. Dette er grunden til, at sårbarheden ikke kunne udnyttes i masseskala og derfor udgjorde en mindre risiko end de fleste browsersikkerhedsfejl.
Same-Origin Policy-funktionen er en sikkerhedsmodel til webapplikationer, der bruges i stort set alle internetbrowsere. Det giver scripts på en webside adgang til data i en anden, så længe websiderne tilhører det samme domæne, protokol og port. Det forhindrer adgang til websider på tværs af domæner, hvilket betyder, at et ondsindet websted ikke kan få adgang til dine bankkontooplysninger, hvis du er logget ind på en anden fane, eller hvis du har glemt at logge ud.
Sagen, hvor SOP-sikkerhedsmekanismen mislykkes, er, når en bruger bliver narret til at downloade en ondsindet HTML-fil og køre den på deres computer. Når filen er gemt lokalt, indlæses den i protokollen 'file: //', hvor den ikke har noget indstillet domæne eller portnummer. Da gennem SOP-websider kun kan få adgang til oplysninger om det samme domæne / port / protokol, da alle andre lokale filer også starter i 'file: //' -protokollen, kan den downloadede ondsindede HTML-fil få adgang til enhver fil på det lokale system og stjæle data fra det.
Denne Microsoft Edge SOP-sårbarhed kan bruges til at udføre målrettede og præcise angreb. Når en tiltænkt bruger er narret til at downloade og køre filen, kan hacker snuse sig gennem oplysningerne på deres pc og stjæle de nøjagtige oplysninger, som han / hun leder efter, forudsat at han ved, hvor man skal se. Da dette angreb ikke er automatiseret, hjælper det at kende brugeren og brugerens slutsystem med at udføre angrebet effektivt.
Zihayan Albeniz optog en kort video, der demonstrerede dette angreb. Han forklarede, at han var i stand til at udnytte denne sårbarhed i Edge, Mail og Kalender til at stjæle data fra en computer og hente dem på en anden enhed eksternt.
Microsoft er kommet med en opdatering til sin Edge-browser, der løser denne sårbarhed. Opdateringen er tilgængelig for alle respektive Windows 10-versioner af Microsoft Edge i den offentliggjorte rådgivende opslag. På trods af at opdateringen er frigivet, der løser denne SOP-sårbarhed, advarer Albeniz stadig om, at brugerne skal være forsigtige med de HTML-filer, de modtager fra ukendte kilder. HTML er ikke den konventionelle filtype, der bruges til at sprede malware, hvorfor det ofte mistænkes og forårsager skade.
