Muchos de los servicios que usamos a diario llegar a ser con muchos errores. Esta vez nuestra atención fue atraída por una vulnerabilidad en el navegador de Yandex, construida en el cromo, que podría haber permitido a los atacantes robar el historial de navegación de los usuarios, contraseñas, marcadores. Más particularmente, la vulnerabilidad en cuestión es del tipo cross-site solicitud falsificación. La falla fue descubierta por Ziyahan de Albeniz, un investigador Nets Parker.
Ante todo, ¿qué es exactamente una falsificación de petición en sitios cruzados (Un error CSRF)?
Cross-site solicitud falsificación, también conocido como el ataque de un solo clic o montar sesión, CSRF o XSRF por sus siglas, es un tipo de explotación maliciosa de un sitio web donde los comandos no autorizados se transmiten de un usuario que confía el sitio web. A diferencia de cross-site scripting (XSS), que explota la confianza que un usuario tiene un sitio en particular, CSRF explota la confianza que tiene un sitio en el navegador de un usuario. (Vía Wikipedia)
¿Cómo se lleva a cabo un ataque CSRF
Poco dicho, para llevar a cabo un ataque exitoso de ese tipo, el actor malicioso tendrá que engañar al usuario para que visite una página web comprometida que obligó transparente navegador web del usuario para realizar acciones en una página de confianza. Esta es una página donde el usuario es autenticado actualmente sin su conocimiento.
En el caso del navegador Yandex, este problema reside en la forma de la conexión del navegador cuando el usuario introduce una dirección de correo electrónico y la contraseña de una cuenta interna. Esta es una característica muy similar a la función de sincronización de datos de Chrome.
La vulnerabilidad CSRF se encuentra en la pantalla de inicio de sesión del navegador de Yandex, que es utilizado por los usuarios para acceder a su cuenta de Yandex, para sincronizar sus datos del navegador (como contraseñas, marcadores, los valores del formulario, historia) entre los diferentes dispositivos que poseen, tales como los teléfonos inteligentes, tabletas y PC. El navegador Google Chrome tiene la misma función.
¿Cómo puede la falla CSRF ser explotado en el navegador de Yandex?
El investigador explica que todo el atacante tendría que hacer es obligar a la víctima a iniciar sesión con sus propias credenciales. Así es como el actor malintencionado podría obtener información personal guardada en el navegador, incluyendo la historia, contraseñas, grifos y marcadores abiertos.
Es difícil explotar la falla CSRF? De ningún modo!
El informe de Albeniz indica que el error es fácil de explotar. Todo lo que un atacante tiene que hacer es atraer al usuario para acceder a un sitio web malicioso. Este último contiene código que crea un formulario de inicio de sesión de sincronización de datos de Yandex Browser y presentar los datos con las credenciales de los hackers. La vulnerabilidad CSRF entonces permitirá que estos datos para iniciar una operación automática de la sincronización. El resultado final que se envía una copia de los datos del usuario al atacante. Esto evitará que se produzca en menos que el usuario se entere y toma medidas. En otras palabras, en caso de no contramedida, información como nuevas credenciales continuará siendo sincronizado sin el conocimiento del usuario.
Yandex fue notificada sobre el tema y se fija en de mayo de 2016. Sin embargo, el investigador compartió que revelar el error y la comunicación con la empresa no fue un proceso fácil. Yandex no le informó de que la vulnerabilidad se fijó.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: