Facebook har en hemmelig dør åpen i Edge som lar den kjøre Flash uten at brukeren vet det
Innholdsfortegnelse:
Er du bekymret for personvernet til dataene dine? Vel, hold ut mens kurvene kommer. En sikkerhetsforsker har oppdaget en feil som påvirker Microsofts nettleser, Edge. Mens du venter på en hurtigreparasjon for å hoppe til den Chromium-baserte gjengivelsesmotoren, gjenstår det problemer for Edge.
Varslet, som ved andre anledninger, kommer fra Google Project Zero, en avdeling som har ansvaret for å undersøke og oppdage feil og hull i applikasjoner og operativsystemer. Og i dette tilfellet har Ivan Fratric, (@ifsecure), oppdaget en feil i Edge som lar Flash-kode kjøres uten at brukeren vet om det .
Free Bar for Flash
For å få litt bakgrunn må vi reise tilbake i tid til slutten av 2018. Fra Google Project Zero oppdaget de en hviteliste(hvit liste) i Edge. Det er en liste som fungerer på samme måte som den vi kan bruke på _smarttelefoner_, bortsett fra at den i stedet for å bruke telefonnumre bruker nettjenester.
Tot alt ga denne listen teamene våre gratis tilgang slik at opptil 58 nettsteder av alle slag kunne kjøre kode basert på Adobe Flashog alt dette selvfølgelig uten at den berørte part har kjennskap til det. Det var problemet.
Microsoft ble gjort oppmerksom på problemet, Edge ble lappet og selv om de taklet roten til problemet, var de ikke i stand til å eliminere alle trusleneDe vedvarte to nettsteder som fortsatt hadde tillatelser til å kjøre Flash.Og de var begge påvirket av Facebook. Dette er de to privilegerte domenene:"
- https://www.facebook.com
- https://apps.facebook.com
Dette betyr at enhver widget som kjører på Flash og er inkludert i noen av disse domenene, kan bryte med Microsofts sikkerhetstiltakI tillegg, Fratric oppdaget selv en ny risiko som gjør at clicktorun-policyen som Edge kan skryte av, kunne omgås og som gir brukeren kontroll over tilgang til datamaskinen. Dette er den som kan innrømme eller nekte utførelsen av denne typen tjenester. Et viktig sikkerhetshull, siden Flash-kode kan kjøres enten av disse domenene eller til og med gjennom et MITM-angrep (Man In The Middle)."
I henhold til varselet på nettstedet, _når du besøker et nettsted som prøver å laste inn Flash-innhold mens du surfer med Microsoft Edge og starter med Windows 10 Creators Update, kan du legge merke til at visse aspekter av nettstedet ikke ikke fungerer slik du forventer. Denne uventede oppførselen kan være et resultat av at Flash er blokkert som standard på grunn av Flash Click-to-Run-funksjonen. I teorien burde det være slik det fungerer"
A Nail to Edge
Dette faktum er spesielt alvorlig, siden det betyr at sikkerheten og integriteten til brukerdata er i fare. Og forresten, det er i strid med sikkerhetspolicyene til Edge, som kjemper mot uredelig bruk av denne typen praksis.
"Det er en bjørnetjeneste handlinger som dette gjør med Edge, en navigator i delikat helse som allerede ser hvordan Microsoft har satt en dødsdato når i Windows 10 oktober 2019 Oppdater den nye Edge er en realitet."
Via | ZDNet Forsidebilde | iAmMrRob
