ข้อบกพร่องของนโยบายแหล่งกำเนิดเดียวกัน (SOP) ของ Microsoft อาจทำให้แฮกเกอร์สามารถขโมยข้อมูลจากไฟล์ที่เก็บไว้ในเครื่องได้

เว็บเบราว์เซอร์ Microsoft Edge Lesoir

Ziyahan Albeniz นักวิจัยด้านความปลอดภัยของ Netsparker ได้ค้นพบช่องโหว่ในเบราว์เซอร์ Edge ของ Microsoft ซึ่งอนุญาตให้มีการแพร่กระจายของมัลแวร์ เขาเผยแพร่ผลการวิจัยของเขาเมื่อวันที่ CVE-2018-0871 ( CVSS 3.0 คะแนนฐาน 4.3) ในรายงานของเขาหัวข้อ“ ใช้ประโยชน์จากช่องโหว่ของ Microsoft Edge เพื่อขโมยไฟล์ .”

Albeniz อธิบายว่าช่องโหว่ดังกล่าวมาจากข้อบกพร่องที่เกี่ยวข้องกับคุณลักษณะของนโยบายแหล่งกำเนิดเดียวกัน เมื่อถูกโจมตีช่องโหว่นี้อาจถูกใช้เพื่อแพร่กระจายมัลแวร์ซึ่งสามารถทำการโจมตีแบบฟิชชิงและขโมยข้อมูลได้ ปัจจัยสำคัญในการแพร่กระจายของมัลแวร์ผ่านช่องทางนี้คือข้อมูลของผู้ใช้เองในการดาวน์โหลดไฟล์ที่เป็นอันตราย นี่คือสาเหตุที่ช่องโหว่นี้ไม่สามารถใช้ประโยชน์ได้ในระดับจำนวนมากดังนั้นจึงมีความเสี่ยงน้อยกว่าข้อบกพร่องด้านความปลอดภัยของเบราว์เซอร์ส่วนใหญ่

คุณลักษณะนโยบายแหล่งกำเนิดเดียวกันเป็นรูปแบบการรักษาความปลอดภัยของเว็บแอปพลิเคชันที่ใช้ในอินเทอร์เน็ตเบราว์เซอร์แทบทั้งหมด อนุญาตให้สคริปต์ในหน้าเว็บหนึ่งเข้าถึงข้อมูลในอีกหน้าหนึ่งได้ตราบเท่าที่หน้าเว็บนั้นอยู่ในโดเมนโปรโตคอลและพอร์ตเดียวกัน ป้องกันการเข้าถึงหน้าเว็บข้ามโดเมนซึ่งหมายความว่าเว็บไซต์ที่เป็นอันตรายไม่สามารถเข้าถึงข้อมูลรับรองบัญชีธนาคารของคุณได้หากคุณลงชื่อเข้าใช้ในแท็บอื่นหรือคุณลืมออกจากระบบ

กรณีที่กลไกการรักษาความปลอดภัย SOP ล้มเหลวคือเมื่อผู้ใช้ถูกหลอกให้ดาวน์โหลดไฟล์ HTML ที่เป็นอันตรายและเรียกใช้บนคอมพิวเตอร์ เมื่อไฟล์ถูกบันทึกลงในเครื่องแล้วไฟล์จะโหลดในโปรโตคอล“ file: //” ซึ่งไม่มีการกำหนดโดเมนหรือหมายเลขพอร์ต เนื่องจากผ่านหน้าเว็บ SOP เท่านั้นที่สามารถเข้าถึงข้อมูลบนโดเมน / พอร์ต / โปรโตคอลเดียวกันได้เนื่องจากไฟล์ในเครื่องอื่น ๆ ทั้งหมดเปิดในโปรโตคอล 'file: //' ไฟล์ HTML ที่เป็นอันตรายที่ดาวน์โหลดมาจึงสามารถเข้าถึงไฟล์ใด ๆ ในระบบภายในเครื่องและขโมย ข้อมูลจากมัน

ช่องโหว่ Microsoft Edge SOP นี้สามารถใช้เพื่อทำการโจมตีแบบกำหนดเป้าหมายและแม่นยำ เมื่อผู้ใช้ที่ตั้งใจถูกหลอกให้ดาวน์โหลดและเรียกใช้ไฟล์แฮ็กเกอร์สามารถสอดแนมข้อมูลบนพีซีของตนและขโมยข้อมูลที่แท้จริงที่เขากำลังมองหาได้หากเขารู้ว่าต้องดูที่ไหน เนื่องจากการโจมตีนี้ไม่ได้เป็นไปโดยอัตโนมัติการรู้จักผู้ใช้และระบบปลายทางของผู้ใช้จะช่วยในการโจมตีได้อย่างมีประสิทธิภาพ

Zihayan Albeniz บันทึกวิดีโอสั้น ๆ ที่สาธิตการโจมตีนี้ เขาอธิบายว่าเขาสามารถใช้ประโยชน์จากช่องโหว่นี้ใน Edge, Mail และ Calendar เพื่อขโมยข้อมูลจากคอมพิวเตอร์และดึงข้อมูลจากอุปกรณ์อื่นจากระยะไกลได้

Microsoft ได้ออกมาพร้อมกับการอัปเดตสำหรับเบราว์เซอร์ Edge ซึ่งแก้ไขช่องโหว่นี้ การอัปเดตนี้มีให้สำหรับ Microsoft Edge เวอร์ชัน Windows 10 ทั้งหมดในการเผยแพร่ ที่ปรึกษา ประกาศ แม้ว่าจะมีการเผยแพร่การอัปเดตเพื่อแก้ไขช่องโหว่ SOP นี้ แต่ Albeniz ยังคงเตือนว่าผู้ใช้ควรระวังไฟล์ HTML ที่ได้รับจากแหล่งที่ไม่รู้จัก HTML ไม่ใช่ประเภทไฟล์ทั่วไปที่ใช้ในการแพร่กระจายมัลแวร์ซึ่งเป็นสาเหตุที่ทำให้มักไม่สงสัยและก่อให้เกิดความเสียหาย