Molti servizi che usiamo quotidianamente risultano essere abbastanza buggy. Questa volta la nostra attenzione è stata catturata da una vulnerabilità nel browser Yandex, costruito su Chromium, che avrebbe potuto permettere agli aggressori di rubare cronologia di navigazione degli utenti, password, segnalibri. Più in particolare, la vulnerabilità in questione è di tipo request forgery cross-site. La falla è stata scoperta da a Ziyahan Albeniz, un ricercatore Netsparker.
Prima di tutto, che cosa è esattamente un cross-site request forgery (CSRF difetto)?
cross-site request forgery, noto anche come attacco one-click o passeggiate a sessione, CSRF o XSRF in breve, è un tipo di malware exploit di un sito web in cui i comandi non autorizzate vengono trasmessi da un utente che il sito trust. A differenza di cross-site scripting (XSS), che sfrutta la fiducia che un utente ha per un particolare sito, CSRF sfrutta la fiducia che un sito ha nel browser di un utente. (attraverso Wikipedia)
Come un attacco CSRF è effettuata
Poco detto, di effettuare un attacco di successo di quel tipo, l'attore malintenzionato dovrà ingannare l'utente a visitare un sito Web compromesso che in modo trasparente ha costretto browser web dell'utente per eseguire azioni su una pagina di fiducia. Questa è una pagina in cui l'utente è autenticato attualmente a sua insaputa.
Nel caso del browser Yandex, questo problema risiede nel modulo di accesso del browser in cui l'utente inserisce un indirizzo email e la password di un account interno. Questa è una caratteristica molto simile alla funzione di sincronizzazione dei dati di Chrome.
La vulnerabilità CSRF è stato trovato nella schermata di login del Browser Yandex che viene utilizzato dagli utenti per accedere al proprio account Yandex per sincronizzare i propri dati del browser (come le password, segnalibri, i valori della forma, storia) tra diversi dispositivi che possiedono, come smartphone, compresse e PC. Il browser Google Chrome ha le stesse caratteristiche.
Come può la falla CSRF essere sfruttata nel Browser Yandex?
Il ricercatore spiega che tutto l'utente malintenzionato dovrebbe fare è costringere la vittima effettuare il login usando le sue proprie credenziali. Questo è come l'attore sarebbe dannoso ottenere informazioni personali salvate nel browser, compresa la storia, password, rubinetti aperti e segnalibri.
E 'difficile sfruttare la falla CSRF? Affatto!
rapporto di Albeniz indica che il bug è facile da sfruttare. Tutto un attaccante deve fare è attirare l'utente in accesso a un sito web malevolo. Quest'ultimo conterrà il codice che ha creato una sincronizzazione dei dati di login Yandex Browser e inviare i dati con le credenziali degli hacker. La vulnerabilità CSRF consentirà poi questi dati per avviare un'operazione automatica sincronizzazione. Il risultato finale è una copia dei dati dell'utente vengono inviati per l'attaccante. Questo continuerà a verificarsi a meno che l'utente trova su di esso e agisce. In altre parole, in caso di mancata contromisura, informazioni come nuove credenziali continuerà ad essere sincronizzati, senza la conoscenza dell'utente.
Yandex è stato notificato circa la questione ed è stato risolto maggio 2016. Tuttavia, il ricercatore ha condiviso che la divulgazione del bug e la comunicazione con la società non è stato un processo facile. Yandex non lo ha informato che la vulnerabilità è stata fissata.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: