דפדפן האינטרנט של Edge Edge. לסיר
חוקר האבטחה של נטספארקר, Ziyahan Albeniz, גילה פגיעות בדפדפן Edge של מיקרוסופט שאפשרה להפיץ תוכנות זדוניות. הוא פרסם את ממצאיו ב- CVE-2018-0871 ( CVSS 3.0 ציון הבסיס 4.3) בדו'ח שכותרתו ' ניצול פגיעות של Microsoft Edge לגניבת קבצים . '
אלבניז הסביר כי הפגיעות נבעה מפגם שקשור לתכונה בנושא מדיניות זהה. כאשר מנוצלים, ניתן להשתמש בפגיעות להפצת תוכנות זדוניות שיכולות לבצע פיגועים וגניבת מידע. גורם נהדר להפצת תוכנות זדוניות בערוץ זה היה קלט המשתמש עצמו להורדת הקובץ הזדוני. זו הסיבה שהפגיעות לא הייתה ניתנת לניצול בקנה מידה המוני ולכן היווה סיכון נמוך יותר מרוב פגמי האבטחה בדפדפן.
תכונת המדיניות של אותו מקור היא מודל אבטחה של יישומי אינטרנט המשמש כמעט בכל דפדפני האינטרנט. זה מאפשר לסקריפטים בדף אינטרנט אחד לגשת לנתונים בדף אחר כל עוד דפי האינטרנט שייכים לאותו תחום, פרוטוקול ויציאה זהה. זה מונע גישה בין דומיינים לדפי אינטרנט, כלומר אתר זדוני לא יכול לגשת לאישורי חשבון הבנק שלך אם אתה מחובר בכרטיסייה אחרת או ששכחת לצאת.
המקרה בו מנגנון האבטחה של SOP נכשל הוא כאשר משתמש שולל שולל להוריד קובץ HTML זדוני ולהריצו במחשב שלו. לאחר שהקובץ נשמר באופן מקומי, הוא נטען בפרוטוקול 'file: //' בו אין לו שום תחום או מספר יציאה מוגדרים. מכיוון שדרך דפי SOP ניתן לגשת רק למידע באותו תחום / יציאה / פרוטוקול, שכן כל הקבצים המקומיים האחרים מופעלים גם בפרוטוקול 'file: //', קובץ ה- HTML הזדוני שהורד יכול לגשת לכל קובץ במערכת המקומית ולגנוב. נתונים ממנו.
ניתן להשתמש בפגיעות זו של Microsoft Edge SOP לביצוע התקפות ממוקדות ומדויקות. ברגע שמשתמשים מיועדים שוללים הורדה והפעלת הקובץ, ההאקר יכול לחפש את המידע במחשב האישי ולגנוב את המידע המדויק שהוא מחפש, בתנאי שהוא יודע לאן לחפש. מכיוון שהתקפה זו אינה אוטומטית, הכרת המשתמש ומערכת הקצה של המשתמש מסייעת בביצוע ההתקפה ביעילות.
זיחיין אלבניז הקליט סרטון קצר המדגים התקפה זו. הוא הסביר כי הוא מסוגל לנצל את הפגיעות הזו ב- Edge, Mail ו- Calendar, כדי לגנוב נתונים ממחשב ולאחזר אותם במכשיר אחר מרחוק.
מיקרוסופט יצאה עם עדכון לדפדפן Edge שלה שמתקן את הפגיעות הזו. העדכון זמין עבור כל גרסאות Windows 10 המתאימות של Microsoft Edge שפורסמו ייעוץ עָלוֹן. למרות העובדה כי שוחרר העדכון לפתרון פגיעות SOP זו, אלבניז עדיין מזהירה כי המשתמשים צריכים להיזהר מקבצי ה- HTML שהם מקבלים ממקורות לא ידועים. HTML אינו סוג הקובץ הקונבנציונאלי המשמש להפצת תוכנות זדוניות ולכן לעיתים קרובות הוא אינו חשוד וגורם נזק.
