Umetno inteligentni brskalnik z veliko varnostno luknjo

Odkrita (in odpravljena) je bila resna ranljivost v spletnem brskalniku Arc Browser.

Varnostni raziskovalec, znan kot xyz3va, je razkril resno varnostno ranljivost v priljubljenem brskalniku Arc, ki bi lahko napadalcem omogočila vstavitev poljubne kode v seje uporabnikov brskalnika. Do tega bi prišli preprosto z uporabo uporabniškega imena, ki je bil zlahka dostopen na več načinov (prek posredovanih povezav, deljenih vsebin in drugih javno dostopnih objav). Ranljivost, poimenovana CVE-2024-45489, je bila odpravljena 26. avgusta, podjetje The Browser Company pa jo je javno razkrilo šele 20. septembra, skupaj z obsežnim varnostnim poročilom in ukrepi za preprečitev podobnih težav v prihodnje.

Ranljivost je bila povezana s funkcijo Arc Boosts, ki uporabnikom z uporabo lastne CSS in Javascript kode omogoča prilagajanje videza spletnih strani, ki jih obiščejo. Napaka je izvirala iz napačne konfiguracije sistema Firebase, ki ga je podjetje The Browser Company uporabljalo za shranjevanje in sinhronizacijo teh prilagoditev med različnimi napravami. Raziskovalec je ugotovil, da je bilo mogoče s spremembo polja creatorID podtakniti zlonamerno kodo kateremukoli uporabniku, ne da bi slednji to sploh opazil. S pridobitvijo uporabniškega imena bi napadalec lahko vstavil poljubno kodo v brskalnik žrtve in si odprl vrata za izvedbo napadov, kot so kraja podatkov, spreminjanje vsebine spletnih strani in druga nečedna dejanja.

Podjetje The Browser Company se je odzvalo hitro. Ko je raziskovalec xyz3va prijavil ranljivost soustanovitelju Hurshu Agrawalu, so bili razvijalci brskalnika Arc zelo odzivni. Ranljivost so potrdili in analizirali v nekaj minutah, nato pa so že naslednji dan poskrbeli za varnostni popravek.