Encontrado una vulnerabilidad en Microsoft Edge que le permite robar cookies y contraseñas

108

Una vulnerabilidad encontrada en Microsoft Edge puede ser explotada por un atacante Para obtener contraseñas y c Ookies archivos servicios en línea. Fue descubierto por el investigador Manuel Caballero, experto en el descubrimiento de fallas de seguridad en los navegadores de Microsoft, Edge e Internet Explorer.

Caballero ha logrado omitir Same Origin Policy (SOP), una característica de Microsoft Edge para evitar que un sitio web cargue un formulario y ejecute scripts desde otro. Dicho de otra manera, abre la puerta a un atacante para cargar y ejecutar código malicioso con la ayuda de datos URI la actualización de meta tags y páginas sin dominio como: blank.

A través de las variaciones en la técnica de exploit, Caballero ha demostrado cómo un atacante podría ejecutar código en un sitio de alto perfil solo engañando a la víctima para que haga clic en una URL malintencionada. En las tres (19459008) 2 y 19459009 [3] pruebas de concepto que ha publicado, el investigador tuvo éxito en ejecutar el código en la página de inicio de la búsqueda Motor Bing, publicado tweets con el nombre de otro usuario y luego robó contraseñas y cookies de la misma cuenta de Twitter .

El último ataque vuelve a resaltar un fallo de seguridad encontrado en los navegadores web modernos, que le da a un atacante la capacidad de cerrar las sesiones de un usuario, cargar la página de inicio de sesión y robar credenciales de usuario que se rellenan automáticamente por La característica autocompletar de las contraseñas de los mismos navegadores.

El investigador ha advertido que los atacantes podrían confiar en campañas malvertising para automatizar el envío de la explotación a miles de víctimas, porque hoy la publicidad moderna es env A través de JavaScript. Esto permitiría robar las credenciales de una cuenta de Twitter a través de un banner malicioso colocado en una página web de Yahoo.

Hasta donde se sabe, la vulnerabilidad actual sigue sin ser revisada y Caballero ha publicado Una demostración en Google Drive para que los usuarios puedan sospechar códigos similares.