Facebook heeft een geheime deur open in Edge waardoor Flash kan worden uitgevoerd zonder dat de gebruiker het weet

Maakt u zich zorgen over de privacy van uw gegevens? Wacht even, de bochten komen eraan. Een beveiligingsonderzoeker heeft een fout ontdekt in de webbrowser van Microsoft, Edge. Terwijl we wachten op een hotfix om de sprong naar de op Chromium gebaseerde rendering-engine te maken, blijven er problemen bestaan ​​voor Edge.

De waarschuwing is, net als bij andere gelegenheden, afkomstig van Google Project Zero, een afdeling die verantwoordelijk is voor het onderzoeken en detecteren van bugs en hiaten in applicaties en besturingssystemen. En in dit geval heeft Ivan Fratric, (@ifsecure), een bug in Edge ontdekt die toestaat dat Flash-code wordt uitgevoerd zonder dat de gebruiker hiervan op de hoogte is .

Gratis balk voor Flash

Om wat achtergrondinformatie te krijgen, moeten we terug in de tijd reizen naar eind 2018. Van Google Project Zero ze ontdekten een witte lijst(witte lijst) in Edge. Het is een lijst die hetzelfde werkt als degene die we kunnen gebruiken op _smartphones_, behalve dat in plaats van telefoonnummers webservices worden gebruikt.

In totaal gaf deze lijst onze teams gratis toegang zodat tot 58 websites van allerlei soorten code konden uitvoeren op basis van Adobe Flashen dit alles natuurlijk zonder dat de getroffen partij er enige kennis van heeft. Dat was het probleem.

"

Microsoft werd onder de aandacht van het probleem gebracht, Edge werd gepatcht en hoewel ze de oorzaak van het probleem aanpakken, konden ze niet alle bedreigingen eliminerenZe hielden twee websites vol die nog toestemming hadden om Flash uit te voeren.En ze waren allebei onder invloed van Facebook. Dit zijn de twee geprivilegieerde domeinen:"

• https://www.facebook.com
• https://apps.facebook.com

"

Dit betekent dat elke widget die op Flash draait en deel uitmaakt van een van deze domeinen, de beveiligingsmaatregelen van Microsoft kan schendenBovendien, Fratric ontdekte zelf een nieuw risico waardoor het clicktorun-beleid dat Edge opschept, kan worden omzeild en dat controle over de toegang tot de computer aan de gebruiker geeft. Dit is degene die de uitvoering van dit soort diensten kan toegeven of weigeren. Een belangrijk beveiligingslek, aangezien Flash-code kan worden uitgevoerd door deze domeinen of zelfs door middel van een MITM-aanval (Man In The Middle). "

"

Volgens de melding op de website, _wanneer u een website bezoekt die Flash-inhoud probeert te laden tijdens het browsen met Microsoft Edge vanaf Windows 10 Creators Update, merkt u mogelijk dat bepaalde aspecten van de website niet niet goed werken zoals u verwacht. Dit onverwachte gedrag kan het gevolg zijn van het feit dat Flash standaard wordt geblokkeerd vanwege de Flash Click-to-Run_-functie. In theorie zou het zo moeten werken"

Een nagel tot het randje

Dit feit is bijzonder ernstig, omdat het betekent dat de veiligheid en integriteit van gebruikersgegevens in gevaar is. En trouwens, het is in tegenspraak met het beveiligingsbeleid van Edge, dat strijdt tegen het frauduleuze gebruik van dit soort praktijken.

"

Het is een slechte dienst die acties als deze Edge bewijzen, een navigator met een kwetsbare gezondheid die al ziet hoe Microsoft It een overlijdensdatum wanneer in Windows 10 oktober 2019 Update de nieuwe Edge is een feit."

Via | ZDNet Omslagafbeelding | iAmMrRob