人々がしばしばどちらを疑問に思っているのも不思議ではありません 最も安全なブラウザ は. ブラウザは、さまざまな攻撃シナリオで利用されることがよくあります, 更新されたブラウザでさえ、攻撃者の犠牲になる可能性があります.
GoogleChromeとMozillaFirefoxの両方に関連する最近の深刻なセキュリティ問題の1つは、ブラウザのいくつかのセキュリティ機能の侵害につながる可能性があります。 アドレスバーのなりすましURL 簡単なトリックで. 発見の作者はセキュリティ研究者です ラファイ・バロック. 幸いなことに, 問題はすでに修正されていますが、他のベンダーはまだそれらの修正に取り組む必要があります. 加えて, バローチは、彼がのサイズのバグ報奨金を支払われたと言いました $5,000 Googleに代わって.
RTL-LTRURLスプーフィングの問題の説明
この問題は、ブラウザが混合RTLで記述されたURLを並べる方法に起因します (アラビア語) およびLTR (ローマ人) 文字.
言語の文字はアラビア語などです, ヘブライ語はRTLから表示されます (右から左へ) 注文, U+FE70などのいくつかのUnicode文字の誤った取り扱いによる, U + 0622, U+0623などとそれらがどのようにレンダリングされるか (最初の強いキャラクター) IPアドレスやアルファベットなどは、なりすましURLにつながる可能性があります.
研究者は、彼が次のようなニュートラルなキャラクターを配置したときに気づきました “/” URLが右から左に反転して表示される原因となったファイルパス内. なりすましのURL, URLはIPアドレスで始まる必要があります ニュートラルな文字が続く. これは、オムニボックスがIPアドレスを句読点と数字の組み合わせとして認識するためです。. LTRだから (左から右へ) 方向が正しく適用されていません, これにより、URL全体がRTLからレンダリングされます (右から左へ).
悪用しやすいRTL-LTRスプーフィングの欠陥
最悪の部分は、なりすましの問題が非常に悪用されやすいことです, 特にフィッシング攻撃では. 攻撃者がサーバーのIPアドレスを取得する可能性があります, いくつかのアラビア文字を追加し、正規のWebサイトのドメインを付加します. 生成されたURLはスパムに埋め込むことができ、電子メールで送信することができます, SMSおよびIMメッセージ. クリックすると, ユーザーは 信頼できるドメインを表示するページにリダイレクトされます しかし実際には悪いサーバー上にあります.
さらに、アドレス部分を簡単に隠すことができます, 特にモバイルブラウザで, 攻撃をより現実的にするために、より長いURLを選択することによって, バローチは言う.
Firefoxの場合, 同じ問題が次のように識別されています CVE-2016-5267. でも, Mozillaのコードベースが異なるため、エクスプロイト自体はわずかに異なります。.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: