Lỗi UXSS trên Microsoft Edge cho phép hacker đánh cắp thông tin người dùng

Tuần trước, Microsoft tung ra các bản cập nhật cho trình duyệt Edge để sửa hai lỗi bảo mật, trong đó có lỗ hổng bảo mật có thể bị lợi dụng để đưa và thực thi mã tùy ý trong nội dung của bất kỳ trang web nào.

Lỗ hổng bảo mật được gắn mã CVE-2021-34506 (điểm CVSS: 5,4), bắt nguồn từ vấn đề UXSS. Nó được kích hoạt khi tự động dịch các trang web sử dụng tính năng được cài đặt sẵn thông qua Microsoft Translator.

"Không giống như tấn công XSS thông thường, UXSS là một kiểu tấn công mà các lỗ hổng nằm ở bên trong trình duyệt hoặc phần mở rộng của trình duyệt để tạo ra điều kiện giống như điều kiện xảy ra XSS và thực thi mã độc" - The Hacker News dẫn lời các chuyên gia của CyberXplore. "Khi các lỗ hổng như vậy được tìm thấy và khai thác, cách xử lý của trình duyệt sẽ bị ảnh hưởng và các tính năng bảo mật có thể bị bỏ qua hoặc vô hiệu hóa".

Cụ thể, các nhà nghiên cứu phát hiện ra tính năng dịch chứa một đoạn mã dễ bị tấn công, không thể làm sạch đầu vào. Do đó, kẻ tấn công có khả năng chèn mã JavaScript độc hại vào bất cứ đâu trong trang web. Sau đó, mã độc được thực thi khi người dùng nhấp vào lời nhắc nhở trên thanh địa chỉ để dịch trang.

Là một phương pháp khai thác POC, cuộc tấn công dễ dàng được thực hiện chỉ bằng cách thêm nhận xét không dùng tiếng Anh vào video YouTube, cùng với tải trọng XSS.

Tương tự như vậy, tải trọng XSS và một yêu cầu kết bạn trên Facebook mà hồ sơ có nội dung ngôn ngữ khác đã được tìm thấy để thực thi mã ngay sau khi người chấp nhận kết bạn yêu cầu kiểm tra hồ sơ của người kết bạn.

Ngày 24 tháng 6, sau 3 tuần kể từ khi nhận được báo cáo, Microsoft đã khắc phục sự cố và thưởng 20.000 USD cho các chuyên gia bảo mật của CyberXplore.

Bạn có thể tải xuống bản cập nhật mới nhất (phiên bản 91.0.864.59) cho trình duyệt dựa trên Chromium bằng cách truy cập Settings and more -> About Microsoft Edge (edge://settings/help).