El navegador Microsoft Edge parece tener una vulnerabilidad de contraseña severa. Reportes recientes revelan que los atacantes o hackers podrían obtener fácilmente archivos de contraseñas de usuario y cookies para cuentas en línea, una vulnerabilidad que fue descubierta por el experto en seguridad Manuel Caballero, alguien con vasta experiencia en desenterrar errores y fallas de Edge e Internet Explorer.
Los atacantes pueden evitar la protección SOP de Edge
La vulnerabilidad permite que un atacante cargue y ejecute código malicioso utilizando URI de datos, Meta refresh tag y páginas sin dominio como about:blank . Esta técnica de explotación tiene muchas variaciones y Caballero mostró las formas en que un hacker puede ejecutar código en sitios de alto perfil simplemente engañando a los usuarios para que accedan a una URL maliciosa.
Caballero mostró tres demostraciones en las que ejecutó código en la página de inicio de Bing, tweeteó en nombre de otro usuario y robó los archivos de contraseñas y cookies de una cuenta de Twitter.
El último ataque volvió a exponer un error de seguridad en el diseño de los navegadores modernos: la capacidad del hacker de cerrar la sesión de un usuario, cargar una página de inicio de sesión y robar las credenciales del usuario automáticamente rellenadas por la función de autocompletar la contraseña del navegador .
La vulnerabilidad aún no ha sido parcheada. Por esta razón, Caballero proporcionó demostraciones para que los usuarios puedan inspeccionar el código fuente y asegurarse de que sus contraseñas y cookies no se carguen en ningún sitio.
Los ataques están automatizados por malversación
También parece que los ataques se pueden personalizar para deshacerse de las contraseñas o cookies de más servicios en línea como Amazon, Facebook y otros. Sólo Edge se ve afectado porque » Las derivaciones UXSS/SOP tienden a ser particulares de cada navegador .
Los anuncios modernos entregan código JavaScript a los navegadores y es por esto que los atacantes pueden facilitar las campañas de publicidad maliciosa para automatizar la entrega de este exploit a una gran cantidad de víctimas.
Para más información, puede leer la descripción técnica de Caballero del problema.