Atenție la noua vulnerabilitate din browserul Opera

Conform The Hacker News , problema a implicat funcția My Flaw încorporată în browser, care face parte din extensia Opera Touch Background și nu a fost eliminată. My Flaw permite utilizatorilor să ia notițe și să partajeze fișiere între browserele desktop și cele mobile.

Cảnh giác với lỗ hổng mới trên trình duyệt Opera- Ảnh 1. — My Flaw este o funcție de sincronizare convenabilă din browserul web Opera

Aceasta este o caracteristică familiară, deoarece dezvoltatorii moderni de software oferă adesea instrumente pentru schimbul rapid de date între computere și dispozitive mobile, dar în cazul Opera, acest lucru vine cu prețul securității.

Guardio Labs spune că interfața My Flaw funcționează ca un chat pentru partajarea fișierelor, oferind o funcție „Deschidere” pentru orice mesaj cu un atașament, ceea ce înseamnă că fișierele pot fi executate direct din interfața web. Acest lucru are ca rezultat un context web care poate interacționa cu API-urile sistemului pentru a executa fișiere din sistemul de fișiere în afara browserului, fără sandboxing sau restricții.

În plus, site-urile web și extensiile pot fi conectate la My Flaw. Aceasta înseamnă că un atacator poate crea o extensie rău intenționată care se dă drept dispozitivul mobil la care este conectat computerul victimei. Apoi, acesta poate utiliza JavaScript pentru a livra un fișier rău intenționat care va fi executat atunci când cineva face clic oriunde pe ecran.

Dezvoltatorii Opera au fost notificați despre vulnerabilitatea din My Flaw pe 17 noiembrie anul trecut, iar vulnerabilitatea a fost corectată la scurt timp după aceea, pe 22 noiembrie.

Legătură sursă