0
0
Você está onde pensa que está, ou está onde quero que pense que está?
O Rapid7 descobriu que o navegador Safari da Apple, bem como os navegadores Opera Mini e Yandex, eram vulneráveis à falsificação de barras de endereço baseadas em JavaScript.
A equipe infosec, juntamente com seu “amigo hacker de longa data Rafay Baloch”, descobriu que o software poderia ser enganado para exibir a URL de um site enquanto carregava e exibia conteúdo de outro. Tal truque é útil, entre outros, para ladrões e fraudadores que podem querer substituir a página de login online de um banco por uma projetada para coletar detalhes de login dos usuários involuntários.
“Como temos muito poucas maneiras de realmente validar a fonte de dados em nossos telefones, a barra de endereços é praticamente o único pedaço de tela imobiliária que os desenvolvedores (angelicais e diabólicos) são proibidos de brincar”, escreveu Tod Beardsley, da Rapid7, em um post no blog.
Ele continuou explicando: “Ao mexer com o tempo entre os carregamentos de página e quando o navegador tem a chance de atualizar a barra de endereços, um invasor pode fazer com que um pop-up pareça vir de um site arbitrário ou pode renderizar conteúdo na janela do navegador que falsamente parece vir de um site arbitrário.”
Em seu próprio site, Baloch (não é estranho a pesquisar ataques de falsificação de barras de endereço) publicou código de prova de conceito para explorar o Yandex Browser, Safari e Opera.
“É pertinente mencionar aqui que vários navegadores móveis com enorme base de usuários não têm sequer um e-mail dedicado para relatar vulnerabilidades de segurança, o que desencoraja os pesquisadores de segurança a relatar vulnerabilidades de segurança”, disse ele. “O Google Chrome e o Firefox têm um programa de recompensa por bugs no qual tanto os navegadores desktop quanto os móveis estão no escopo, enquanto o programa de recompensa de bugs da Microsoft é limitado apenas à versão desktop.”
Graças a esta pesquisa, patches foram emitidos para UCWeb (CVE-2020-7363 e 7364), Opera Touch, Yandex Browser (CVE-2020-7369), Safari (CVE-2020-9987) e RITS Browser (CVE-2020-7371). Atualizar esses aplicativos para suas versões mais recentes deve fechar os furos.
A Ópera Mini está prevista para ser remendada em 11 de novembro. Enquanto isso, o Navegador do Bolt parece também ser afetado, embora o mantenedor não possa ser contatado pelo Rapid7.
Jake Moore, especialista em infosec com o fornecedor de antivírus Eset, disse ao The Register que os usuários finais não precisam se preocupar, desde que tenham instalado patches recentemente.
“Tendemos a deixar nosso navegador atualizar automaticamente, o que significa que podemos sentar e desfrutar de navegar com segurança sem ter que pensar em proteção extra. No entanto, com alguns navegadores específicos, pode não ser tão direto”, explicou. “Preocupantemente, o link vai parecer genuíno se pressionado por muito tempo. Mas, como sempre, tente limitar a quantidade de dados confidenciais que você divulga ou tente se ater a um dos outros navegadores oferecidos que foram claramente mais rápidos para corrigir essa vulnerabilidade.”
Ele concluiu: “Até que um patch seja lançado, eu aconselharia as pessoas a pedir ainda mais cautela quando apresentadas com links em e-mails e outras mensagens que poderiam ser suspeitas.”
FONTE: THE REGISTER