Η Microsoft κάνει ότι μπορεί για να σπρώξει το κοινό προς τον δικό της browser, που στο σύνολό του είναι καλός, αλλά μάλλον δεν είναι τόσο καλός όσο ο chrome. Τώρα όμως εμφανίστηκε άλλο ένα bug, που επέτρεπε τον διαμοιρασμό δεδομένων χρηστών, σε διάφορα extensions στον edge.
Η Microsoft κυκλοφόρησε ένα patch για την διόρθωση του bug, που επέτρεπε την εγκατάσταση extensions από hackers, στο σύστημα του χρήστη. Μάλιστα αυτό μπορούσε να γίνει χωρίς κάποια αλληλεπίδραση με τον χρήστη. Αυτό μπορούσε να αποφέρει οικονομικά ή άλλα κέρδη στον επιτιθέμενο.
Το κενό ασφαλείας που δημιουργήθηκε είχε τον κωδικό CVE-2024-21388 για την παρακολούθησή του και αποκαλύφθηκε πρώτη φορά από την Guardio LAbs και τον ερευνητή ασφαλείας Oleg Zaytsev, ο οποίος τόνισε τις δυνατότητές της για κακόβουλη εκμετάλλευση.
Οι ερευνητές της Microsoft αντιμετώπισαν το κενό ασφαλείας στην σταθερή έκδοση του Edge 121121.0.2277.83 που κυκλοφόρησε στις 25 Ιανουαρίου 2024. Το Bug ήταν σε ένα ελάττωμα ενός API, που αρχικά είχε σχεδιαστεί για λόγους marketing. Αυτό το API επέτρεπε σε εισβολείς την εγκατάσταση extensions, με πλήρη άδεια πρόσβασης και χρήσης των δεδομένων των χρηστών.
Αν η ευπάθεια του Edge εκμεταλλευόταν με επιτυχία, επέτρεπε στους εισβολείς να αποκτήσουν τα δικαιώματα που απαιτούνται για την εγκατάσταση extensions στα συστήματα χρηστών. Παράλληλα, αυτή η ευπάθεια παραχωρούσε προνομιακή πρόσβαση σε σελίδες, συμπεριλαμβανομένων των Bing και Microsoft.
Με την εκτέλεση Javascript σε αυτές τις σελίδες, οι εισβολείς μπορούν να εγκαταστήσουν τα extensions που επιθυμούν, ενώ ο χρήστης δεν καταλαβαίνει καν τι έχει συμβεί. Το πρόβλημα όμως είχε σαν βάση την έλλειψη επαρκούς επικύρωσης του χρήστη, με τους εισβολείς να μπορούν να εγκαταστήσουν ότι θέλουν, εντελώς κρυφά.
Cosmote TV: Εφικτός ο διαμοιρασμός των συνδρομών
Αν υπήρξε εκμετάλλευση αυτού του κενού ασφαλείας, τότε η εγκατάσταση κακόβουλων extensions σημαίνει και διαρροή κωδικών και δεδομένων του χρήστη. Σύμφωνα με τον Oleg Zaytsev του Guardio Labs, οι εισβολείς μπορούν εύκολα να ξεγελάσουν τους χρήστες για να εγκαταστήσουν φαινομενικά αβλαβείς επεκτάσεις, οι οποίες θα μπορούσαν να χρησιμεύσουν ως το αρχικό βήμα σε μια πιο περίπλοκη επίθεση.
