Scoperta vulnerabilità  informatica su browser iOS e Safari: riguarda una violazione della same-origin policy

A quanto pare la questione risale ad almeno gli ultimi quattro mesi da oggi (quindi orientativamente da ottobre 2021), i dispositivi iOS e iPadOS di Apple, in particolare il browser Safari, sarebbero affette da un bug in grado di fare trapelare parte delle identità  degli utenti nonchè l’attività  di navigazione in tempo reale. Nello specifico, la violazione riguarda la same-origin policy, un noto e consolidato meccanismo di sicurezza per il web, in grado di limitare il modo in cui un documento o uno script caricato da un certo sito possa interagire con una risorsa di un’altra origin.

A livello tecnico, due URL hanno la stessa origin se possiedono, da specifiche:

  1. lo stesso protocollo (HTTP o HTTPS);
  2. lo stesso host;
  3. la stessa porta (opzionalmente, se esplicitata);
  4. il path specifico (esempio/di/path) può anche essere diverso, sebbene a parità  degli altri fattori.

Per intenderci, se consideriamo un URL di esempio del tipo:

http://store.sito.com/dir/page.html

avrà  la stessa origin di

Ads: scopri Keliweb ,il servizio di hosting italiano

http://store.sito.com/dir2/other.html

ma NON di

https://store.sito.com/page.html

e nemmeno di

http://news.sito.com/dir/page.html

La same-origin policy è un meccanismo di sicurezza fondamentale per far funzionare il web, e generalmente i browser come Chrome e Firefox sono piuttosto attenti che venga rispettato; di fatto, sembrerebbe che Safari sia molto più permissivo in tal senso, come è stato dimostrato da un sito demo appositamente creato (safarileaks.com). Safari in sostanza permette ad uno script che gira su un’origin A di venire a conoscere i siti aperti in altre tab del browser, cosଠcome parte dei fingerprint che identificano l’utente in rete.

Schermata 2022 01 24 alle 11.30.20
Una screenshot esemplificativa del problema tratta dal sito demo, fonte e documentazione: https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/

 

L’idea di fondo è che il bug, che riguarda il componente IndexedDB ed il WebKit nello specifico, venga risolto nei prossimi giorni, anche perchè è stato aperto un bug report a riguardo, nonchè un repository ufficiale su Github che documenta nel dettaglio il problema rilevato. IndexedDB è un vero e proprio database transazionale come MySQL, che viene condiviso tra le varie sessioni aperte nelle tab di Safari e viene, in altri termini, usato come vettore di attacco. Avendo un DB condiviso tra le varie tab, uno script malevolo non sarebbe soltanto in grado di rilevare i siti che stiamo visitando, ma anche l’ID di Google associato univocamente ad un login su Youtube, ad esempio.

Si attendono sviluppi in merito, oltre ad aggiornamenti specifici per il browser Safari.

https://www.youtube.com/watch?v=Z7dPeGpCl8s



Questo blog pubblica contenuti ed offre servizi free da 11 anni. – Leggi un altro articolo a caso – Per informazioni contattaci
Non ha ancora votato nessuno.

Ti sembra utile o interessante? Vota e fammelo sapere.

Scoperta vulnerabilità  informatica su browser iOS e Safari: riguarda una violazione della same-origin policy
phishing g1c2da5350 1280
Torna su