کشف باگ حیاتی در مرورگرهای مدرن
محققان گوگل آسیب‌پذیری حیاتی جدیدی در مرورگرهای وب کشف نموده‌اند، که به موجب آن مرورگر وب می‌تواند به وب سایتی که شما از آن بازدید کردهاید اجازه دهد اطلاعات حساب کاربری که در وب سایت دیگری بر روی همان مرورگر وارد نموده‌اید را سرقت نماید.
این آسیب‌پذیری که توسط یکی از توسعه‌دهندگان گوگل به نام "Jake Archibald" کشف شده است، در مرورگرهایی که درخواست‌های cross-origin را برای ویدیو و صوت پشتیبانی میکنند، وجود دارد. به موجب این آسیب‌پذیری هکر می‌تواند با دسترسی از راه دور، محتوای gmail یا پیامهای خصوصی facebook شما را بخواند.
بنا به دلایل امنیتی، مرورگرهای جدید به وب سایت‌ها اجازه ایجاد درخواست‌های cross-origin را در دامنههای مختلف نمیدهند مگر اینکه به دامنهای صراحتاً اجازه داده شده باشد. این باعث میشود تنها دادههایی درخواست شود که از یک سایت یکسان بارگذاری شده باشد، و جلوی درخواستهایی از سایت‌های دیگر که سعی در سرقت اطلاعات شما دارند گرفته شود.
Archibald دریافت که مرورگرهای فایرفاکس و Microsoft edge اجازه میدهند که عناصر رسانهای برای تلفیق دادههای قابل رؤیت و مبهم، یا تلفیق دادههای مبهمی که از منابع مختلف هستند، یک حمله مصنوعی ایجاد کنند و راه را برای هکرها باز کنند.
این باگ زمانی شروع به کار می‌کند که مرورگرها مجموعه‌ای از درخواستها را برای عناصر رسانهای اجرا میکنند.
این حفره امنیتی می‌تواند توسط وبسایتهای مخربی که از فایلهای رسانهای تعبیه شده در صفحه وب خود بهره میبرند، مورد استفاده قرار گیرد. به این صورت که هنگام پخش رسانه، فقط محتوای جزئی را از سرور خود ارائه دهند و از مرورگر بخواهند که باقی فایل را از منابع دیگری دریافت کند. به این ترتیب مرورگر را وادار به ایجاد یک درخواست cross-origin میکنند.
مرورگرهای سافاری و کروم با استفاده از سیاستهای امنیتی که از قبل ایجاد کرده‌اند، درخواست‌های cross-origin را محدود کرده و کاربران خود را از این آسیب‌پذیری حفاظت نموده‌اند.
پس از گزارش این آسیب‌پذیری به فایرفاکس و Microsoft edge توسط Archibald و تیم امنیتیاش، آن‌ها پچهای امنیتی را در آخرین بروزرسانی خود ارائه نمودند.
کاربران این دو مرورگر باید از نصب بودن آخرین نسخه این مرورگرها اطمینان حاصل نمایند.
منبع خبر: https://thehackernews.com/2018/06/browser-cross-origin-vulnerability.html
