Стало известно о крайне серьезной ошибке в Edge, благодаря которой вредоносные сайты могут получать контент с других сайтов путем воспроизведения аудиофайлов определенным образом. По словам экспертов, такая злонамеренная техника может привести к серьезным утечкам.
Проблему обнаружил эксперт Google Джейк Арчибальд. Он комментирует баг следующим образом:
«Это очень серьезная ошибка. На деле это значит, что вы, посетив мой сайт (который является proof-of-concept), раскроете мне ваши электронные письма, ленту Facebook. И все это произойдет без вашего ведома».
Ошибка возникает в момент, когда вредоносный сайт использует технологию Service Workers для загрузки с удаленного сайта мультимедийного контента внутри тега <audio>, параллельно используется параметр «range» для загрузки только определенного раздела этого файла.
Арчибальд объясняет, что из-за несогласованности в том, как браузеры обрабатывают файлы, загруженные с помощью Service Workers внутри тегов audio, можно загружать любой контент на вредоносном сайте.
При нормальных обстоятельствах такое было бы невозможно осуществить из-за CORS (Cross-Origin Resource Sharing) — защитной функции браузера, которая запрещает сайтам загружать ресурсы с других сайтов.
Но в этом случае сайт злоумышленника может отправлять запросы «no-cors», которые получающие сайты (среди них Facebook, Gmail и BBC) примут без проблем. Это позволит атакующему загрузить контент, который ни при каких других обстоятельствах не загрузился бы на случайных доменах.
Уязвимость получила имя Wavethrough (CVE-2018-8235), она затрагивает Edge и Firefox — на Chrome и Safari не влияет.
Хорошая новость заключается в том, что на момент написания материала эта брешь закрыта.
Арчибальд опубликовал proof-of-concept в виде сайта также моно ознакомиться с видео, подтверждающим наличие бага:
