Bug navegador Edge expone contenido a traves de etiqueta de audio de html5
Un extraño error de Edge que se solucionó a principios de este mes, permite que un sitio web malicioso recupere contenido de otros sitios reproduciendo archivos de audio de forma incorrecta que produce consecuencias imprevistas.
"Este es un gran error", dijo Jake Archibald, el desarrollador de Google que descubrió este error.
"Significa que podrías visitar mi sitio [prueba de concepto] en Edge, y podría leer tus correos electrónicos, podría leer tu feed de Facebook, todo sin que te des cuenta".
Breaking Edge utiliza solicitudes de rango y audio web
El error ocurre cuando un sitio malicioso usa trabajadores de servicio para cargar contenido multimedia dentro de una etiqueta "audio" desde un sitio remoto, mientras usa también el parámetro "rango" para cargar solo una sección específica de ese archivo.
Archibald dice que debido a las incoherencias en la forma en que los navegadores tratan los archivos cargados a través de los trabajadores del servicio dentro de las etiquetas de audio, es posible cargar cualquier contenido dentro del sitio malicioso.
En circunstancias normales, esto no sería posible debido al uso compartido de recursos de origen cruzado de CORS: una función de seguridad del navegador que evita que los sitios carguen recursos de otros sitios.
Pero en esta configuración extraña, el sitio del atacante puede emitir solicitudes "no-cors" que el sitio receptor, como Facebook, Gmail o BBC, cumplirá sin ningún problema.
Esto permite que el sitio atacante cargue contenido oculto detrás de los procedimientos de autenticación, contenido que ningún servicio en línea en su sano juicio permitiría cargar en dominios aleatorios.
Wavethrough no afecta a todos los navegadores
La buena noticia es que este error no es universal, y se ha corregido en todos los navegadores en el momento de la escritura.
Archibald dice que el error, que en broma llamó Wavethrough (CVE-2018-8235), afectó solo a Edge y Firefox, pero no a Chrome ni a Safari.
Solo las versiones in-dev Firefox Nightly se vieron afectadas, y los ingenieros de Mozilla corrigieron el problema en su versión Nightly antes de que el error llegara a convertirse en la versión principal de Firefox Stable.
A pesar de enfrentar algunos obstáculos al informar el problema a Microsoft, el fabricante del sistema operativo también arregló el error Wavethrough en las correcciones de parches de junio de 2018.
Debido a la gran gravedad del error, se recomienda a los usuarios de Edge que apliquen todos los parches Microsoft Edge adecuados , para que no sean vulnerables a este tipo de ataque.
Archibald sospecha que Chrome parchó accidentalmente el error Wavethrough debido a otros parches que implementó en 2015 con respecto a otro error que afecta al selector de audio / video "rango".
Mejorando los estándares para evitar problemas futuros
Desde que informaron el error de Wavethrough, Archibald también ha trabajado para mejorar los estándares web para que tengan más claro cómo los navegadores deben manejar la carga de recursos desde otros sitios a través de las solicitudes del trabajador de servicio.
Archibald publicó un sitio de prueba de concepto para probar el error y grabó el siguiente video de YouTube para mostrar a los usuarios cómo Wavethrough expuso el contenido del sitio web de la BBC simplemente reproduciendo un archivo de audio en otro sitio.