Microsoft Edge -selaimessa näyttää olevan vaikea salasanan haavoittuvuus. Viimeaikaiset raportit paljastavat, että hyökkääjät tai hakkerit voivat helposti hankkia online-tilien käyttäjän salasanat ja evästeetiedostot. Tämä on tietoturva-asiantuntijan Manuel Caballeron havaitsema haavoittuvuus, jolla on laaja kokemus Edgen ja Internet Explorerin virheiden havaitsemisesta.

Hyökkääjät voivat ohittaa Edgen SOP-suojauksen

Haavoittuvuus antaa hyökkääjän ladata ja suorittaa haitallisen koodin data-URI: t, Meta Refresh -tagi ja verkkotunnuksettomat sivut, kuten about: tyhjä. Tällä hyödyntämistekniikalla on monia muunnelmia, ja Caballero osoitti tapoja, joilla hakkeri voi suorittaa koodin korkean profiilin sivustoilla vain huijaamalla käyttäjiä pääsemään haitalliselle URL-osoitteelle.

Caballero osoitti kolme demoa, joissa hän suoritti koodin Bing-kotisivulla, twiitti toisen käyttäjän nimessä ja varasti salasanan ja evästeetiedostot Twitter-tililtä.

Viimeinen hyökkäys paljasti uudelleen tietoturvavirheen nykyaikaisten selainten suunnittelussa: hakkerin kyky kirjautua ulos käyttäjästä, ladata kirjautumissivu ja varastaa käyttäjän valtuustiedot, jotka automaattisesti täytetään selaimen salasanan automaattisen täyttöominaisuuden avulla.

Haavoittuvuus on edelleen selvittämättä. Tästä syystä Caballero toimitti demoja ladattavaksi, jotta käyttäjät voivat tarkistaa lähdekoodin ja varmistaa, ettei heidän salasanojaan ja evästeitä ole ladattu mihinkään.

Hyökkäykset automatisoidaan väärinkäyttämällä

Näyttää myös siltä, ​​että hyökkäyksiä voidaan räätälöidä lisäämään online-palveluiden, kuten Amazonin, Facebookin ja muiden salasanoja tai evästeitä. Vain Edge vaikuttaa, koska " UXSS / SOP-ohitukset ovat yleensä erityisiä jokaiselle selaimelle."

Nykyaikaiset mainokset toimittavat JavaScript-koodin selaimille, ja siksi hyökkääjät voivat helpottaa väärinkäyttämiskampanjoita automatisoidaksesi tämän hyväksikäytön suurille määrille uhreja.

Lisätietoja voit lukea Caballeron teknisestä kuvauksesta.