Inicio / Información Util / ¡Cuidado! El navegador Safari sin parches permite a los atacantes falsificar las URL

¡Cuidado! El navegador Safari sin parches permite a los atacantes falsificar las URL

Un investigador de seguridad ha descubierto una vulnerabilidad grave que podría permitir a los atacantes falsificar direcciones de sitios web en el navegador web Microsoft Edge para Windows y Apple Safari para iOS.

Si bien Microsoft solucionó la vulnerabilidad de suplantación de URL de la barra de direcciones el mes pasado como parte de sus actualizaciones de seguridad mensuales , Safari aún no está parcheado, lo que puede dejar a los usuarios de Apple vulnerables a los ataques de phishing.

Los ataques de phishing hoy son sofisticados y cada vez más difíciles de detectar, y esta vulnerabilidad recientemente descubierta lo lleva a otro nivel que puede eludir los indicadores básicos como URL y SSL, que son las primeras cosas que un usuario verifica para determinar si un sitio web es falso.

Descubierta por el investigador de seguridad con sede en Pakistán Rafay Baloch, la vulnerabilidad (CVE-2018-8383) se debe a un problema de condición de carrera causado por el navegador web que permite a JavaScript actualizar la dirección de la página en la barra de URL mientras se carga la página.

Así es cómo funciona la vulnerabilidad de suplantación de URL

La explotación exitosa de la falla podría permitir que un atacante inicialmente comience a cargar una página legítima, lo que provocaría que la dirección de la página se muestre en la barra de URL, y luego reemplazará rápidamente el código en la página web por uno malicioso.

“Al solicitar datos de un puerto inexistente, la dirección se conservó y, por lo tanto, debido a una condición de carrera sobre un recurso solicitado desde un puerto inexistente combinado con el retraso inducido por la función setInterval logró activar la suplantación de barra de direcciones”, explica Baloch en su blog .

“Hace que el navegador preserve la barra de direcciones y cargue el contenido de la página falsificada. Sin embargo, el navegador eventualmente cargará el recurso, sin embargo, el retraso inducido con la función setInterval sería suficiente para activar la suplantación de la barra de direcciones”.

Como la URL que se muestra en la barra de direcciones no cambia, el ataque de phishing será difícil de detectar incluso para un usuario entrenado.

Al usar esta vulnerabilidad, un atacante puede suplantar cualquier página web, incluidos Gmail, Facebook, Twitter o incluso sitios web bancarios, y crear pantallas de inicio de sesión falsas u otros formularios para robar credenciales y otros datos de usuarios que ven el dominio legítimo en la barra de direcciones.

Baloch creó una página de prueba de concepto (PoC) para probar la vulnerabilidad y observó que los navegadores Microsoft Edge y Apple Safari “permitían que javascript actualizara la barra de direcciones mientras la página aún se estaba cargando”.

Demostraciones de video de prueba de concepto

El investigador también ha publicado videos de prueba de concepto para Edge y Safari:

 

Según Baloch, los navegadores web de Google Chrome y Mozilla Firefox no se ven afectados por esta vulnerabilidad.

Si bien Microsoft ya había corregido el problema el mes pasado con sus actualizaciones del martes de parches para agosto de 2018, Baloch aún no recibió una respuesta de Apple sobre el error que le informó a la compañía el 2 de junio.

El investigador reveló los detalles técnicos completos de la vulnerabilidad y el código de prueba de concepto (PoC) para Edge solo después de la ventana de revelación de 90 días, pero tiene el código de prueba de concepto para Safari hasta que Apple solucione el problema en la próxima versión de Safari.

Fuente: thehackernews

Vea También

Un error en la última actualización de Windows 10 October 2018 deja sin Internet a muchas aplicaciones

En los últimos días hemos podido ver mucho relacionado con Windows 10 October 2018, la última …

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.