Facebook có một cánh cửa bí mật mở trong Edge cho phép nó chạy Flash mà người dùng không biết

Bạn có lo lắng về quyền riêng tư của dữ liệu của mình không? Hãy kiên trì vì các đường cong sắp đến. Một nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng ảnh hưởng đến trình duyệt web của Microsoft, Edge. Trong khi chờ bản sửa lỗi nóng để chuyển sang công cụ kết xuất dựa trên Chromium, Edge vẫn tồn tại sự cố.

Cảnh báo, cũng như trong các trường hợp khác, đến từ Google Project Zero, một bộ phận chịu trách nhiệm điều tra và phát hiện các lỗi cũng như lỗ hổng trong các ứng dụng và hệ điều hành. Và trong trường hợp này, Ivan Fratric, (@ifsecure), đã phát hiện ra một lỗi trong Edge cho phép thực thi mã Flash mà người dùng không biết .

Thanh miễn phí cho Flash

Để có một số thông tin cơ bản, chúng ta phải quay ngược thời gian về cuối năm 2018. Từ Google Project Zero họ đã phát hiện ra một danh sách trắng(danh sách trắng) trong Edge. Đó là một danh sách hoạt động giống như danh sách chúng ta có thể sử dụng trên _smartphones_, ngoại trừ việc thay vì sử dụng số điện thoại, danh sách này sử dụng các dịch vụ web.

Tổng cộng, danh sách này đã cấp cho nhóm của chúng tôi quyền truy cập miễn phí để tối đa 58 trang web thuộc mọi loại có thể chạy mã dựa trên Adobe Flashvà tất cả những điều này, tất nhiên, mà bên bị ảnh hưởng không hề hay biết. Đó là vấn đề.

"

Microsoft đã chú ý đến vấn đề này, Edge đã được vá lỗi và mặc dù họ đã giải quyết được gốc rễ của vấn đề, họ không thể loại bỏ tất cả các mối đe dọaHọ đã duy trì hai trang web vẫn có quyền chạy Flash.Và cả hai đều chịu ảnh hưởng của Facebook. Đây là hai miền đặc quyền:"

• https://www.facebook.com
• https://apps.facebook.com

"

Điều này có nghĩa là bất kỳ tiện ích con nào chạy trên Flash và được bao gồm trong bất kỳ miền nào trong số này, có thể vi phạm các biện pháp bảo mật của MicrosoftNgoài ra, Bản thân Fratric đã phát hiện ra một rủi ro mới mà qua đó chính sách clicktorun mà Edge tự hào có thể bị phá vỡ và chính sách đó trao quyền kiểm soát quyền truy cập vào máy tính cho người dùng. Đây là thứ có thể thừa nhận hoặc từ chối việc thực hiện loại dịch vụ này. Một lỗ hổng bảo mật quan trọng, vì mã Flash có thể được thực thi bởi các miền này hoặc thậm chí thông qua một cuộc tấn công MITM (Man In The Middle)."

"

Theo thông báo trên trang web, _khi bạn truy cập một trang web cố tải nội dung Flash trong khi duyệt bằng Microsoft Edge bắt đầu với Windows 10 Creators Update, bạn có thể nhận thấy rằng một số khía cạnh của trang web không hoạt động&39; không hoạt động bình thường theo cách bạn mong đợi. Hành vi không mong muốn này có thể là kết quả của việc Flash bị chặn theo mặc định do tính năng Flash Click-to-Run_. Về lý thuyết, đây phải là cách nó hoạt động"

A Nail to Edge

Thực tế này đặc biệt nghiêm trọng, vì nó có nghĩa là an ninh và tính toàn vẹn của dữ liệu người dùng đang gặp rủi ro. Và nhân tiện, nó mâu thuẫn với các chính sách bảo mật của Edge, chính sách chống lại việc sử dụng gian lận loại phương pháp này.

"

Đó là một dịch vụ mà các hành động như thế này gây ra cho Edge, một nhà điều hướng trong tình trạng sức khỏe mong manh, người đã thấy Microsoft đã đặt ngày chết khi trong Windows 10 tháng 10 năm 2019 Cập nhật Edge mới là hiện thực."

Via | ZDNet Ảnh bìa | iAmMrRob