События

Уязвимость в Edge и Safari позволяет подменить адреса web-сайтов

Уязвимость в Edge и Safari позволяет подменить адреса web-сайтов

Исследователь в области безопасности Рафэй Балох (Rafay Baloch) раскрыл подробности об уязвимости в браузерах Microsoft Edge и Apple Safari, позволяющей осуществить подмену адресов сайтов.

Проблема (CVE-2018-8383) возникла в результате того, что Балох описывает как «состояние гонки», потенциально позволяющее злоумышленнику зарузить страницу, а затем перезаписать код в ее теле без изменения URL, отображаемого в адресной строке.

В данном случае атакующий может осуществить подмену с помощью «отправки вызовов к несуществующим портам». На практике, эксплуатация уязвимости позволит злоумышленнику создать фальшивые формы авторизации или другие формы для сбора данных в то время как пользователь будет уверен, что находится на другой странице.

Как пояснил Балох, при запросе данных с несуществующего порта браузер сохраняет адрес и загружает контент фальшивой страницы. При этом происходит задержка, которой вполне достаточно, чтобы подменить URL в адресной строке. Эксперт продемонстрировал атаку на примере Edge и Safari.

Поскольку исходный код обоих браузеров закрыт, Балох затруднился назвать точные причины проблемы и почему она проявляется только в Edge и Safari. Исследователь проинформировал производителей об уязвимости несколько месяцев назвад. В то время как Microsoft уже исправила проблему, Apple все еще не выпустила соответствующий патч. Балох решил воздержаться от публикации PoC-кода для уязвимости, пока компания ее не устранит.

Состояние гонки (race condition) - ошибка проектирования многопоточной системы или приложения, при которой работа системы или приложения зависит от того, в каком порядке выполняются части кода.

Источник

Автор: Сергей Куприянов
11.09.2018 (09:57)
Пройди тест и узнай об этом!
Информер новостей
Расширение для Google Chrome
Пишите нам

Редакция: info@alterprogs.ru

Реклама: adv@alterprogs.ru

Все права защищены © 2010-2018

"Alterprogs.ru" - технологии будущего

Контакты  | Карта сайта

Использование любых материалов, размещенных на сайте, разрешается при условии ссылки на alterprogs.ru. Для интернет-изданий - обязательна прямая открытая для поисковых систем гиперссылка. Ссылка должна быть размещена в независимости от полного либо частичного использования материалов. Материалы в рубрике "Новости партнеров" публикуются на правах рекламы.