خلاصه: مایکروسافت یک آسیب‌پذیری در مرورگر Edge را که می‌تواند برای دزدیدن فایل‌های محلی مورد سوءاستفاده قرار گیرد را رفع کرده است. این آسیب‌پذیری ویژگی SOP در مرورگر را درگیر میکند و مهاجمان با استفاد از یک فایل HTML مخرب می‌توانند از آن سوءاستفاده کنند. توصیه می‌کنیم مرورگر خود را به‌روز کرده و هرگز پیوست‌های ایمیل‌هایتان از فرستندگان ناشناخته را باز نکنید، حتی اگر ظاهرا مخرب نباشد.
مایکروسافت یک آسیب‌پذیری در مرورگر Edge را که می‌تواند برای دزدیدن فایل‌های محلی مورد سوءاستفاده قرار گیرد را رفع کرده است.
این نقض امنیتی توسط یکی از محققان امنیتی Netsparker شناسایی شده است و ویژگی امنیتی Same-Origin Policy را درگیر میکند. این ویژگی امنیتی توسط همه مرورگرها پشتیبانی میشود و از حمله مهاجمی که قصد بار گذاری کد مخرب از طریق یک لینک را دارد جلوگیری میکند.
این محقق می گویدکه این ویژگی امنیتی(SOP) در مرورگر edge در همه حالات درست کار میکند بجز هنگامی که کاربر فریب میخورد و یک فایل html مخرب را دانلود کرده و آن را اجرا میکند. درواقع هنگامی که کاربر این فایل را اجرا میکند، کد مخرب آن بارگذاری میشود و چون یک فایل محلی است شماره پورت و دامنه ندارد، که این امر باعث میشود این فایل بتواند هر داده‌ای را از فایل های محلی جمع آوری و به سرقت ببرد.
البته در این حمله نیاز است که مهاجم محل ذخیره ی فایل های مختلف را بداند ولی با این حال میتوان محل ذخیره ی بسیاری از فایل ها را با توجه به پیکربندی برخی نرم افزار ها و سیستم عامل حدس زد. در واقع این حمله زمانی اهمیت پیدا می کند که به صورت هدفمند و برای داده های ارزشمند رخ دهد.
همچنین محققان به کاربران در مورد خطرات اجرای فایل های HTML که از افراد عجیب و غریب یا از طریق ایمیل دریافت می کنند، هشدار میدهد. این هشدار را باید جدی گرفت زیرا فایل‌های HTML معمولا با کمپین‌های توزیع مخرب رایج ارتباط ندارند. خوب است بدانید که بر اساس گزارش F-Secure، تنها پنج نوع فایل، ۸۵ درصد از تمام ضمیمه های مخرب ارسال شده توسط کمپین های اسپم ایمیل را تشکیل می دهند. آنها ZIP، DOC، XLS، PDF و ۷Z هستند.
راهکاری که محققان در گزارش خود ارائه کرده‌اند این است که: تنها راه محافظت، به‌روزرسانی آخرین نسخه مرورگر Edge و برنامه‌های Windows Mail و Calendar می باشد و البته بهتر است هرگز پیوست ها را از فرستندگان ناشناخته باز نکنید، حتی اگر ظاهرا مخرب نباشد.
