Luka 0-day w EDGE i Internet Explorer zagraża bankowości internetowej

2 kwietnia, 2019

W zeszłą sobotą tj. 30 marca 2019 roku zostały ujawnione informacje o dwóch lukach 0-day w przeglądarkach Microsoft EDGE oraz Internet Explorer. Luki te umożliwiają napastnikowi przechwycenie sesji logowania z dowolnej strony internetowej (nawet z witryny banku). W związku z tym jest to bardzo poważna podatność, która jeszcze nie jest załatana. I nie wiadomo kiedy będzie.

Jeżeli użytkownik zostanie przekierowany na złośliwą stronę (jest to bardzo powszechne zjawisko w atakach internetowych) kod JavaScript na stronie atakującego pozwoli operatorowi serwera gromadzić informacje o witrynach, które zostały otworzone. Napastnik uzyska dostęp do:

  • Informacji przechowywanych w adresach URL
  • Plików cookies
  • Identyfikatorach sesji
  • Nazwy użytkownika
  • Hasła
  • Tokenu OAUTH w postaci tekstu jawnego lub skrótu

Mówiąc wprost, atakujący będzie miał możliwość zalogowania się do stron WWW przy użyciu wykradzionej sesji logowania. Nie ma znaczenia czy aktywowany jest 2FA lub, czy użytkownik wylogował sesję. Przestępca będzie mógł zaimportować do swojej przeglądarki całą aktywną sesję. Jest to bardzo niebezpieczne, ale do pewnych operacji np. bankowych będą potrzebne dodatkowe autoryzacje operacji.

Jak przebiega atak?

Użytkownik odwiedza złośliwą stronę:

https://bad-site.com

Luka w EDGE i Internet Explorer omija restrykcje „same-origin policy”, czyli pozwala złośliwemu skryptowi wykraść informacje zapisane w przeglądarce:

0-day w EDGE oraz IE

W tej chwili nie wiadomo czy i kiedy luka zostanie załatana, dlatego jedynym skutecznym zabezpieczeniem jest zaprzestanie używania przeglądarek EDGE i Internet Explorer do czasu załatania podatności.

Atak można prześledzić na stronach:

http://pwning.click/histback.html

https://pwning.click/edgecrossurl.html
Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.
Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.

PODZIEL SIĘ:

Czy ten artykuł był pomocny?

Średnia ocena: 0 / 5. Liczba głosów: 0

guest
0 komentarzy
Inline Feedbacks
View all comments

Wyrażam zgodę na przesłanie oferty drogą telefoniczną przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Wyrażam zgodę na przesłanie oferty drogą mailową przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

[ninja_tables id=”27481″]