Webový prehliadač Microsoft Edge. Lesoir
Výskumný pracovník spoločnosti Netsparker, Ziyahan Albeniz, objavil chybu v prehliadači Microsoft Edge, ktorá umožňovala šírenie škodlivého softvéru. Svoje zistenia zverejnil dňa CVE-2018-0871 ( CVSS 3.0 4,3) vo svojej správe s názvom „ Využívanie chyby zabezpečenia programu Microsoft Edge na odcudzenie súborov . “
Albeniz vysvetlil, že zraniteľnosť vyplynula z chyby súvisiacej s funkciou politiky rovnakého pôvodu. Keď bude táto chyba zneužitá, mohla by sa použiť na šírenie škodlivého softvéru, ktorý môže vykonávať útoky typu phishing a krádež informácií. Veľkým faktorom v šírení škodlivého softvéru týmto kanálom bol vlastný vklad používateľa pri sťahovaní škodlivého súboru. Z tohto dôvodu táto chyba nebola hromadne využiteľná, a preto predstavovala menšie riziko ako väčšina bezpečnostných chýb prehľadávača.
Funkcia politiky rovnakého pôvodu je model zabezpečenia webovej aplikácie, ktorý sa používa prakticky vo všetkých internetových prehliadačoch. Umožňuje skriptom na jednej webovej stránke prístup k údajom na druhej, pokiaľ webové stránky patria do rovnakej domény, protokolu a portu. Zabraňuje prístupu k webovým stránkam medzi doménami, čo znamená, že škodlivá webová stránka nemôže získať prístup k povereniam vášho bankového účtu, ak ste prihlásení na inej karte alebo ste sa zabudli odhlásiť.
Prípad, v ktorom bezpečnostný mechanizmus SOP zlyhá, je ten, keď je používateľ podvedený, aby si stiahol škodlivý súbor HTML a spustil ho na svojom počítači. Keď je súbor lokálne uložený, načíta sa do protokolu „file: //“, v ktorom nemá žiadne nastavené číslo domény alebo portu. Pretože prostredníctvom webových stránok SOP majú prístup iba k informáciám na tej istej doméne / porte / protokole, pretože všetky ostatné miestne súbory sa spúšťajú aj v protokole „file: //“, stiahnutý škodlivý súbor HTML môže získať prístup k ľubovoľnému súboru v lokálnom systéme a ukradnúť údaje z neho.
Túto chybu zabezpečenia Microsoft Edge SOP možno použiť na vykonávanie cielených a presných útokov. Akonáhle je zamýšľaný užívateľ podvedený k stiahnutiu a spusteniu súboru, môže hacker sliediť cez informácie na svojom PC a ukradnúť presné informácie, ktoré hľadá, za predpokladu, že vie, kde hľadať. Pretože tento útok nie je automatizovaný, poznanie používateľa a koncového systému používateľa pomáha pri efektívnom uskutočňovaní útoku.
Zihayan Albeniz zaznamenal krátke video demonštrujúce tento útok. Vysvetlil, že dokázal zneužiť túto chybu zabezpečenia v aplikáciách Edge, Mail a Calendar, aby ukradol dáta z počítača a vzdialene ich načítal na inom zariadení.
Spoločnosť Microsoft prišla s aktualizáciou svojho prehliadača Edge, ktorá túto chybu zabezpečení opravuje. Aktualizácia je k dispozícii pre všetky príslušné verzie Microsoft Edge pre Windows 10, ktoré sú zverejnené poradný bulletin. Napriek skutočnosti, že bola vydaná aktualizácia, ktorá rieši túto chybu zabezpečenia SOP, Albeniz stále varuje, že používatelia by si mali dávať pozor na súbory HTML, ktoré dostávajú z neznámych zdrojov. HTML nie je konvenčný typ súborov, ktorý sa používa na šírenie škodlivého softvéru. Preto často zostáva netušený a spôsobuje škody.
