Przeglądarka Microsoft Edge miała lukę, przez którą można było ukraść pliki

Przeglądarka Microsoft Edge do niedawna miała ciekawą lukę, którą można było wykorzystać do wykradnięcia lokalnych plików z komputera użytkownika. Dobra wiadomość jest taka, że atak wymagał też inżynierii społecznej i przekonania użytkownika, by pobrał na swój komputer spreparowany plik HTML. To znacznie utrudnia wykorzystanie go i zmniejsza zasięg. Nie wiemy jednak, czy były osoby, które padły ofiarą ataku.

Luka CVE-2018-0871 w starszych wersjach przeglądarki była związana z systemem SOP (Same-Origin Policy). To zabezpieczenie implementowane w wielu współczesnych przeglądarkach. Jego działanie zapobiega ładowaniu szkodliwego kodu przez odnośniki niepasujące do domeny strony źródłowej, wymagające zmiany portu lub protokołu komunikacji.

W przypadku Edge'a można było obejść zabezpieczenie SOP w jednym przypadku. Trzeba było przekonać użytkownika, by pobrał na swój dysk plik HTML i otworzył go w przeglądarce lokalnie. Dzięki temu szkodliwy kod można załadować, korzystając z protokołu file://, który ze swojej natury nie ma zdefiniowanego portu ani domeny. Złośliwy kod miał dzięki temu dostęp do wszystkich plików na dysku zaatakowanego komputera, do których mógł dostać się protokołem file:// z poziomu przeglądarki.

Odkrywca luki, Ziyahan Albeniz z firmy Netsparker, był w stanie tym sposobem wykraść pliki z atakowanych komputerów i wysłać je na zdalne serwery. Musiał jednak wiedzieć, gdzie znajdują się pliki, których szuka. Nie jest to szczególnie trudne – można próbować zgadnąć, gdzie użytkownik trzyma interesujące dane, a pliki konfiguracyjne programów zwykle są w tym samym miejscu na każdym komputerze. Kradzież udała się nie tylko z poziomu Edge'a, ale też klienta poczty i kalendarza dostarczonego z systemem Windows 10. Albeniz pokazał swój atak na filmie.

Luka raczej nie przydała się do ataków na większą skalę czy do rozprzestrzeniania malware. Zastosowanie znalazłaby raczej w atakach kierowanych na konkretne maszyny, na których przechowywane są wartościowe pliki. Warto dodać, że zwykle nie spodziewamy się ataków wykorzystujących lokalne pliki HTML. Według F-Secure za 85% wszystkich ataków odpowiada tylko 5 formatów plików: ZIP, DOC, XLS, PDF i 7Z.

Na szczęście taki atak już nam nie zagraża. Wszystkie trzy podatne programy dostały już zabezpieczenia w czerwcowej paczce poprawek. Warto więc zainstalować najnowszą wersję oprogramowania i nie otwierać plików pochodzących z nieznanych źródeł, nawet jeśli to niewinnie wyglądający HTML.