Papildus tam, ka Chrome lietotājiem tiek rādīts uznirstošais logs, lai pārslēgtos uz Microsoft Edge, izrādās, ka uzņēmums arī cenšas novērst zināmās kļūdas un pārlūkprogrammas un ar to saistītās sistēmas drošības trūkumus. Tehnoloģiju gigants tikko ir izlabojis iepriekšējo, traucējošo pārlūkprogrammas Edge atjauninājumu, kas lietotājiem radīja daudzas problēmas. Tomēr izrādās, ka ir vairāk, un šis konkrētais varētu būt smags.
Nesen izlabota kļūda programmā Microsoft Edge ļāva potenciālajiem uzbrucējiem instalēt paplašinājumus lietotāja sistēmā. Un tas varētu notikt bez lietotāja mijiedarbības. Proti, to var izmantot finansiāla labuma gūšanai vai citiem mērķiem.
Šo ievainojamību, kas izsekota kā CVE-2024-21388, vispirms atklāja Guardio Labs drošības pētnieks Oļegs Zaicevs, kurš uzsvēra tās ļaunprātīgas izmantošanas potenciālu.
Uzbrucēji varēja izmantot Microsoft Edge kļūdu, lai instalētu paplašinājumu, izmantojot privātu API
Pētnieki novērsa drošības trūkumu Microsoft Edge stabilajā versijā 121.0.2277.83, kas tika izlaista 2024. gada 25. janvārī. Slikti dalībnieki varēja izmantot šo trūkumu, lai piesaistītu privātu API, kas sākotnēji bija paredzēts mārketinga nolūkiem. Šī API varētu ļaut uzbrucējiem instalēt pārlūkprogrammas paplašinājumus ar plašām atļaujām, kas var izraisīt pārlūkprogrammas smilškastes aizbēgšanu.
Ievainojamība, ja tā tika veiksmīgi izmantota, varēja ļaut uzbrucējiem iegūt privilēģijas, kas nepieciešamas paplašinājumu instalēšanai lietotāju sistēmās bez viņu piekrišanas. Uzbrucējs to varētu īstenot, izmantojot privātu API pārlūkprogrammā Chromium, kuras pamatā ir Edge. Tiek ziņots, ka tā piešķīra priviliģētu piekļuvi vietņu sarakstam, tostarp Bing un Microsoft.
Palaižot JavaScript šajās lapās, uzbrucēji varētu instalēt paplašinājumus no Edge Add-ons veikala. Tas neprasa lietotāja mijiedarbību. Microsoft Edge kļūda būtībā radās nepietiekamas validācijas dēļ. Tas varētu ļaut uzbrucējiem nodrošināt jebkuru paplašinājuma identifikatoru no veikala un slepeni to instalēt.
Šīs ievainojamības iespējamā ietekme ir nozīmīga, jo tā varēja atvieglot papildu ļaunprātīgu paplašinājumu instalēšanu. Hipotētiskā uzbrukuma scenārijā draudu dalībnieki varētu ne tikai publicēt šķietami nekaitīgus papildinājumu veikala paplašinājumus, bet arī izmantot tos, lai ievadītu ļaunprātīgu JavaScript kodu likumīgās vietnēs. Pēc tam lietotāji, kas apmeklē šīs vietnes, neapzināti savās pārlūkprogrammās bez viņu piekrišanas instalēs atlasītos paplašinājumus.
Par laimi, nav ziņu par veiksmīgu izmantošanu
Par laimi, nekas neliecina par šīs drošības nepilnības veiksmīgu izmantošanu. Pārlūkprogrammas pielāgošanas mērķis ir uzlabot lietotāja pieredzi. Tomēr tie var netīši ieviest jaunus uzbrukuma vektorus, un šis reģistrētais drošības trūkums ir tam lielisks piemērs. Kā uzsvēra Guardio Labs darbinieks Oļegs Zaicevs, uzbrucēji var viegli piemānīt lietotājus, lai tie instalētu šķietami nekaitīgus paplašinājumus, kas varētu kalpot kā sākuma solis sarežģītākā uzbrukumā.
