独立したセキュリティ研究者が偶然に非常に珍しいことを発見しました, MicrosoftEdgeにおける重大度の高いブラウザの脆弱性, CVE-2018-8235として識別. 簡単に言えば, この脆弱性により、悪意のあるWebサイトは、オーディオファイルを誤って再生するだけで他のサイトからコンテンツを取り戻すことができ、意図しない結果が生じる可能性があります。.
ジェイクアーチボルドによると, 研究者 発掘された 欠陥, バグは巨大で「これは、Edgeの私のサイトにアクセスできることを意味します, そして私はあなたのメールを読むことができました, あなたのFacebookフィードを読むことができました, あなたが知らなくてもすべて」. 研究者はバグWavethroughを吹き替えました.
CVE-2018-8235公式MITREの説明
セキュリティ機能のバイパスの脆弱性 存在する MicrosoftEdgeがさまざまな発信元のリクエストを不適切に処理する場合, 別名 “MicrosoftEdgeのセキュリティ機能は脆弱性をバイパスします。”
CVE-2018-8235: ウェーブスルーバグの説明
バグはいつ「イライラ」しますか? 悪意のあるWebサイトがいわゆるサービスワーカーを使用して、リモートサイトからオーディオタグ内のマルチメディアコンテンツをロードする場合, その間、「範囲」パラメータを使用して同じファイルの特定の部分をロードします.
研究者はまたそれを付け加えた:
私はハッカーのふりをして、考えられるすべての攻撃を書き留めました, そしてAnnevanKesterenは、それらのいくつかはサービスワーカーなしで可能であると指摘しました, リダイレクトで同様のことができるので.
加えて, オーディオタグ内のサービスワーカーの助けを借りてロードされたファイルをブラウザが処理する方法の不一致による, 悪意のあるサイト内に任意のコンテンツをロードする可能性があります. 通常、これはCORSとしては発生しません (クロスオリジンリソースシェアリング) 他のサイトからのリソースのロードからサイトを回避するために写真を取得します.
でも, この奇妙な状況下で, 悪意のあるサイトは、受信サイトによって異常とは検出されない「no-cors」リクエストを発行する可能性があります, FacebookやGmail、あるいはいくつかの報道機関. 結果として, 悪意のあるサイトは、認証手順で隠された「ロードされない」コンテンツをロードする可能性があります.
FirefoxはCVE-2018-8235の影響を部分的に受けています
このバグの影響を受けていると思われる他のブラウザはFirefoxです。. ChromeとSafariは手つかずのようです. すなわち, Firefox Nightlyの開発中のバージョンのみが影響を受けましたが、幸いなことにバグは修正されており、FirefoxStableの公式リリースには至りませんでした。.
マイクロソフトはまた、6月にバグに対処しました 2018 火曜日のパッチ.
Chromeについて, 研究者は、Googleが他のパッチを実装するときに意図せずに脆弱性にパッチを当てたと信じています 2015 別のバグに関連して.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: