Tấn công trình duyệt Safari chưa được vá cho phép hacker giả mạo URL

Đăng ngày: 14/09/2018

Một nhà nghiên cứu an ninh vừa phát hiện lỗ hổng nghiêm trọng có thể cho phép kẻ tấn công giả mạo địa chỉ trang web trong trình duyệt Microsoft Edge cho Windows và Apple Safari cho iOS.

Trong khi, Microsoft đã vá lỗ hổng (CVE-2018-8383) tháng trước trong bản cập nhật Patch Tuesday, Apple vẫn chưa có phản hồi gì về lỗ hổng kể từ khi nhận được báo cáo ngày 2/6.

Các cuộc tấn công lừa đảo ngày càng phức tạp và khó phát hiện hơn. Lỗ hổng mới được phát hiện này đã phát triển lên một “tầm” khác khi có thể qua mặt URL và SSL – những công cụ đầu tiên người dùng kiểm tra để xác định xem trang web có phải giả mạo hay không.

Lỗ hổng do nhà nghiên cứu an ninh Rafay Baloch ở Pakistan phát hiện, bắt nguồn từ vấn đề race condition type (loại điều kiện tranh đua) do nguyên nhân trình duyệt web cho phép JavaScript cập nhật địa chỉ page trong thanh URL khi trang này đang tải gây ra.

Lỗ hổng giả mạo URL

Khai thác thành công lỗ hổng này có khả năng cho phép kẻ tấn công bắt đầu tải trang hợp pháp, khiến địa chỉ trang hiển thị trong thanh URL và sau đó nhanh chóng thay thế mã trong trang web bằng một mã độc.

Vì URL được hiển thị trong thanh địa chỉ không thay đổi nên cuộc tấn công lừa đảo trở nên khó phát hiện ngay cả khi người dùng có kiến thức chuyên môn.

Tận dụng lỗ hổng này, kẻ tấn công có thể mạo danh bất kỳ trang web nào, bao gồm Gmail, Facebook, Twitter hoặc thậm chí là trang web ngân hàng và tạo màn hình đăng nhập giả hoặc có các cách thức khác để đánh cắp thông tin đăng nhập và dữ liệu người dùng.

Baloch đã tạo một trang PoC để kiểm tra lỗ hổng và quan sát thấy cả hai trình duyệt Microsoft Edge và Apple Safari đều cho phép javascript cập nhật thanh địa chỉ trong khi trang vẫn đang tải.

Video minh họa

Nhà nghiên cứu cũng đưa ra bằng chứng PoC cho cả Edge và Safari:

Theo Baloch, cả hai trình duyệt web Google Chrome và Mozilla Firefox đều không bị ảnh hưởng bởi lỗ hổng này.

– Ban Truyền thông iSpace –

(Nguồn: https://whitehat.vn)

Tuyển sinh & đào tạo 200 VỆ SĨ MẠNG năm 2018

  • Học chuyên sâu thực hành trên hệ thống THAO TRƯỜNG MẠNG (Cyber Range) theo tiêu chuẩn Israel, duy nhất tại Việt Nam và tiên tiến bậc nhất thế giới hiện nay. Người học được trực tiếp đối mặt với các kịch bản tấn công phòng thủ mạng như những gì đang diễn ra trong thực tế với nhiều cấp độ khó khác nhau; được huấn luyện các kỹ năng và quy trình xử lý, ứng phó với các sự cố an ninh mạng dồn dập, bất ngờ.
  • Ký thỏa thuận “Đào tạo & Tuyển dụng” khi nhập học, tốt nghiệp được đảm bảo việc làm, không phải tự xin việc.
  • Nhận bằng “Kỹ sư thực hành An ninh mạng” sau 4 tháng – 2,5 năm (tùy đối tượng đầu vào)

Nhận hồ sơ xét tuyển đến 20/09/2018
Đăng ký tại đây

    Bài liên quan

    2017 Designed by iweb247.vn
    ĐĂNG KÝ TRỰC TUYẾN