Facebook are o ușă secretă deschisă în Edge care îi permite să ruleze Flash fără ca utilizatorul să știe

Ești îngrijorat cu privire la confidențialitatea datelor tale? Ei bine, stai bine, când vin curbele. Un cercetător în securitate a descoperit o defecțiune care afectează browserul web al Microsoft, Edge. În timp ce așteptați o remediere rapidă pentru a trece la motorul de randare bazat pe Chromium, problemele rămân pentru Edge.

Alerta, ca și în alte ocazii, vine de la Google Project Zero, un departament însărcinat cu investigarea și detectarea erorilor și a lacunelor în aplicații și sisteme de operare. Și în acest caz, Ivan Fratric, (@ifsecure), a detectat o eroare în Edge care permite executarea codului Flash fără ca utilizatorul să știe despre asta .

Bară gratuită pentru Flash

Pentru a obține un fundal, trebuie să călătorim înapoi în timp până la sfârșitul anului 2018. Din Google Project Zero au descoperit o listă albă(lista albă) în Edge. Este o listă care funcționează la fel cu cea pe care o putem folosi pe _smartphones_, cu excepția faptului că în loc să folosească numere de telefon folosește servicii web.

În total, această listă a oferit echipelor noastre acces gratuit, astfel încât până la 58 de site-uri web de toate tipurile ar putea rula cod bazat pe Adobe Flashși toate acestea, desigur, fără ca partea afectată să aibă cunoștință despre asta. Asta a fost problema.

"

Microsoft a fost adus în atenția problemei, Edge a fost patch-at și, deși au abordat rădăcina problemei, au fost incapabili să elimine toate amenințărileAu persistat două site-uri web care încă aveau permisiuni să ruleze Flash.Și amândoi erau sub influența Facebook. Acestea sunt cele două domenii privilegiate:"

• https://www.facebook.com
• https://apps.facebook.com

"

Aceasta înseamnă că orice widget care rulează pe Flash și este inclus în oricare dintre aceste domenii, poate încălca măsurile de securitate ale MicrosoftÎn plus, Fratric însuși a descoperit un nou risc prin care politica clicktorun cu care se laudă Edge ar putea fi ocolită și care acordă utilizatorului controlul accesului la computer. Acesta este cel care poate admite sau infirma executarea acestui tip de servicii. O gaură importantă de securitate, deoarece codul Flash ar putea fi executat fie de aceste domenii, fie chiar printr-un atac MITM (Man In The Middle)."

"

Conform avizului de pe site, _când vizitați un site web care încearcă să încarce conținut Flash în timp ce navigați cu Microsoft Edge începând cu Windows 10 Creators Update, este posibil să observați că anumite aspecte ale site-ului nu fac” nu funcționează corect așa cum vă așteptați. Acest comportament neașteptat poate fi rezultatul blocării implicite a Flash din cauza funcției Flash Click-to-Run_. În teorie, așa ar trebui să funcționeze"

Un cui până la margine

Acest fapt este deosebit de grav, deoarece înseamnă că securitatea și integritatea datelor utilizatorilor sunt în pericol. Și apropo, contrazice politicile de securitate ale Edge, care luptă împotriva utilizării frauduloase a acestui tip de practică.

"

Este un deserviciu pe care acțiunile de genul acesta îi fac Edge, un navigator în stare delicată de sănătate care vede deja cum Microsoft a stabilit un data morții când în Windows 10 octombrie 2019 Actualizarea noului Edge este o realitate."

Via | ZDNet Imagine de copertă | iAmMrRob