کروم و فایرفاکس در معرض خطر پیشنهادهای جستجو

محققان امنیتی Nightwatch Cybersecurity راهی برای درهم شکستن مرورگرهای کرومیوم (نسخه‌ی متن‌باز از مرورگر کروم) و فایرفاکس روی گوشی تلفن همراه و رایانه‌های رومیزی کشف کرده‌اند.

روش آن‌ها به استفاده از ویژگی پیشنهادهای هنگام جستجو بستگی دارد که این مرورگرها ارائه می‌دهند. اشکال در اینجا یک حفره در نرم‌افزار نیست بلکه اشکال در اجرای طرحی است که به محققان اجازه می‌دهد حمله خود را را اجرایی کنند.

امروزه بیشتر مرورگرها یک بخش جستجو دارند یا به کاربران اجازه می‌دهند از طریق نوار آدرس URL به جستجو بپردازند. بر اساس موتور جستجویی که درون مرورگر پشتیبانی می‌شود، هنگامی‌که کاربر شروع به جستجوی عبارت موردنظر می‌کند، پیشنهادهای جستجو نشان داده می‌شود.

متخصصان امنیتی Nightwatch می‌گویند اگر ارائه‌دهنده موتور جستجوی مرورگر از این پیشنهادهای جستجو از طریق یک کانال HTTPS رمزنگاری‌شده پشتیبانی نکند، مهاجم روی شبکه محلی می‌تواند درخواست‌های جستجو را دچار تداخل کرده و پیش از اینکه مرورگر به آن‌ها پاسخ دهد، خود مهاجم به درخواست‌ها جواب می‌دهد.

مهاجم می‌تواند اطلاعات بسیاری را درون این پاسخ قرار دهد، که باعث شود مرورگر یا سامانه عامل منابع حافظه را تخریب و درنهایت باعث درهم شکستن آن شود.

خوشبختانه محققان نتوانستند هنگام اجرای این عملیات کد مخربی که باعث ایجاد مشکلات بیشتر برای سازندگان مرورگرها می‌شوند را اجرا کنند.

محققان هنگام بررسی‌هایشان توانستند مرورگر اندروید برای اندروید ۴٫۴، کروم ۵۱ برای اندروید ۶٫۰۱ و فایرفاکس ۴۷ برای نسخه‌ی ۱۶٫۰۴ اوبونتو را بشکنند. علاوه بر این، آن‌ها همچنین یک حمله‌ی موفق علیه سامانه‌عامل اوبونتو ۱۶٫۰۴ هنگام اجرای کروم ۵۱ ترتیب دادند.

همان‌طور که قبلاً گفته شد، برای اجرای این عملیات، کاربران باید از مرورگری استفاده کنند که از HTTPS استفاده نمی‌کند. این فهرست شامل Ebay روی فایرفاکس، AOL و Ask.com روی کروم، و Bing و یاهو روی مرورگر اندروید است.

اینترنت اکسپلورر، Edge و Safari تحت تأثیر این آسیب‌پذیری نیستند. Safari اوایل امسال با مشکل ناشی از جستجوی خودش درگیر بود، بنابراین تکرار آن، آن‌گونه که فکر می‌کنید آسان نیست.

گروه اندروید، کروم، فایرفاکس این اشکال را به‌عنوان یک حفره امنیتی طبقه‌بندی نکرده‌اند چرا که معتقدند واقعاً هم یک مشکل امنیتی نیست.

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

[easy-pricing-table id="6835"]