Facebook ha una porta segreta aperta in Edge che gli consente di eseguire Flash senza che l'utente lo sappia

Sei preoccupato per la privacy dei tuoi dati? Aspetta, le curve stanno arrivando. Un ricercatore di sicurezza ha scoperto un difetto che interessa il browser Web di Microsoft, Edge. In attesa di un aggiornamento rapido per passare al motore di rendering basato su Chromium, permangono problemi per Edge.

L'allarme, come in altre occasioni, arriva da Google Project Zero, un dipartimento incaricato di indagare e rilevare bug e lacune nelle applicazioni e nei sistemi operativi. E in questo caso Ivan Fratric, (@ifsecure), ha rilevato un bug in Edge che consente l'esecuzione del codice Flash senza che l'utente ne sia a conoscenza .

Barra libera per Flash

Per avere qualche retroscena, dobbiamo viaggiare indietro nel tempo fino alla fine del 2018. Da Google Project Zero hanno scoperto una lista bianca(lista bianca) in Edge. È una lista che funziona come quella che possiamo usare sugli _smartphone_, solo che invece di usare i numeri di telefono usa i servizi web.

In totale, questo elenco ha consentito ai nostri team di accedere gratuitamente in modo che fino a 58 siti Web di tutti i tipi potessero eseguire codice basato su Adobe Flashe tutto questo, ovviamente, senza che la parte interessata ne sia a conoscenza. Quello era il problema.

"

Microsoft è stata portata all&39;attenzione del problema, Edge è stato patchato e sebbene abbiano affrontato la radice del problema, non sono stati in grado di eliminare tutte le minacceHanno reso persistenti due siti web che avevano ancora i permessi per eseguire Flash.Ed erano entrambi sotto l&39;influenza di Facebook. Questi sono i due domini privilegiati:"

• https://www.facebook.com
• https://apps.facebook.com

"

Ciò significa che qualsiasi widget eseguito su Flash e incluso in uno qualsiasi di questi domini, può violare le misure di sicurezza di MicrosoftInoltre, Lo stesso Fratric ha scoperto un nuovo rischio attraverso il quale si potrebbe aggirare la policy clicktorun che Edge vanta e che concede all&39;utente il controllo dell&39;accesso al computer. Questo è quello che può ammettere o negare l&39;esecuzione di questo tipo di servizi. Un&39;importante falla di sicurezza, dal momento che il codice Flash potrebbe essere eseguito da questi domini o anche attraverso un attacco MITM (Man In The Middle)."

"

Secondo l&39;avviso sul sito Web, _quando visiti un sito Web che tenta di caricare contenuto Flash durante la navigazione con Microsoft Edge a partire da Windows 10 Creators Update, potresti notare che alcuni aspetti del sito Web non t funziona correttamente come ti aspetti. Questo comportamento imprevisto potrebbe essere il risultato del blocco predefinito di Flash a causa della funzione Flash Click-to-Run_. In teoria dovrebbe essere così che funziona"

Un chiodo sul bordo

Questo fatto è particolarmente grave, in quanto significa che la sicurezza e l'integrità dei dati degli utenti sono a rischio. E, tra l' altro, contraddice le politiche di sicurezza di Edge, che lotta contro l'uso fraudolento di questo tipo di pratiche.

"

È un disservizio che azioni come questa fanno a Edge, un navigatore in salute delicata che vede già come Microsoft ha impostato un data di morte quando in Windows 10 ottobre 2019 Update il nuovo Edge è una re altà."

Via | ZDNet Immagine di copertina | iAmMrRob