Investigadores de Google descubren una vulnerabilidad severa en los navegadores web modernos que podría permitir a algunos sitios web robar información sensible de tus cuentas en linea desde otras páginas web en las cuales tengas logeada alguna cuenta en el mismo navegador
Descubierta por Jake Archibald, la vulnerabilidad apodada como WaveThrough reside en la manera en que los navegadores manejan los requerimientos de Audio y video cuando esta viene de sitios diferentes a la del origen, la cual si es explotada, podría permitir a un atacante lograr leer el contenido de las cuentas que estén durante el momento del ataque logueadas en el navegador, como lo puede ser Gmail o Facebook.
Por razones de seguridad, los navegadores web modernos no permiten que los sitios web realicen solicitudes de origen cruzado (Cross-origin) a un dominio diferente a menos que cualquier dominio lo permita explícitamente.
Esto significa que, si visita un sitio web en su navegador, solo puede solicitar datos del mismo origen desde el que se cargó el sitio, evitando que realice una solicitud no autorizada en su nombre en un intento de robar sus datos de otros sitios.
Sin embargo los navegadores no responden de la misma manera, cuando el sitio web llama contenido multimedia que estén hosteados en otros orígenes, haciendo que estos carguen sin restricción.
Jack subió un video a Youtube donde se explica como funciona la falla:
"Los errores comenzaron cuando los exploradores implementaron solicitudes de rango para elementos multimedia, que no estaban cubiertos por el estándar. Estas solicitudes de rango eran realmente útiles, por lo que todos los navegadores lo hicieron copiando el comportamiento de los demás, pero nadie lo integró en el estándar", explicó Archibald .Según Archibald, este falla puede ser explotada por un sitio web malicioso utilizando un archivo multimedia incrustado en su página web, que si se reproduce, solo sirve contenido parcial de su propio servidor y le pide al navegador que busque el resto del archivo desde un origen diferente, forzando el navegador para hacer una solicitud de origen cruzado.
Navegadores como Chrome y Safari rechazan tales solicitudes de origen cruzado. En el caso de Firefox y Edge la vulnerabilidad ya fue reparada con un parche disponible en la última actualización, luego de que Archibald informara a las empresas acerca de su hallazgo. Por lo tanto, si eres usuario de Mozilla Firefox o Microsoft Edge, asegúrate de actualizar tu navegador e instalar la última versión.
Referencia: https://thehackernews.com/2018/06/browser-cross-origin-vulnerability.html
