三星Android浏览器爆严重“同源策略”漏洞
2018-06-11 来源:
网络安全研究人员 Dhiraj Mishra 近期披露了三星 Android 浏览器一处关键 “同源策略”( SOP )漏洞(CVE-2017-17692),该漏洞存在于三星互联网浏览器 5.4.02.3 版本或更早版本之中,可允许攻击者在用户访问恶意网站后窃取密码或 cookie 会话等重要信息。
同源策略(SOP)是现代浏览器中应用的一种安全特性,旨在使来自同一网站的 Web 页面可以互动的同时,防止被不相关的网站干扰。换句话说,SOP 可以确保来自一个源的 JavaScript 代码不会访问另一个源网站的属性。
当攻击者通过 Javascript 操作在三星互联网浏览器的一个给定域名(例如:google.com)中打开一个新标签时,该 Javascript 代码可在事后随意重写页面内容。这是浏览器设计中的一个禁忌,因为这意味着攻击者可以通过 Javascript 违反同源策略,并且可以从一个站点(由攻击者控制)直接执行 Javascript 操作后,在另一个站点(攻击者感兴趣的)采取后续行动。从本质上讲,如果受害者率先访问攻击者控制的 Web 页面后,攻击者不仅可以将自定义的 Javascript 代码插入到任何域名之中,还可以窃取 cookie 会话并以用户名义读写 webmail。
Mishra 当时向三星报告了漏洞细节,而三星公司也表示:“补丁已经在我们即将推出的 Galaxy Note 8 中预装,其应用程序也将于 10 月份通过 App Store 更新进行更新”。目前,Mishra 已在 Tod Beardsley Rapid7 团队 Jeffrey Martin 的帮助下发布了一款基于 Metasploit 模块生成的 POC。
消息来源:Thehackernews
转自 HackerNews.cc
标签: Google 安全 代码 互联网 漏洞 网络 网络安全 网站 用户 域名
版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点!
本站所提供的图片等素材,版权归原作者所有,如需使用,请与原作者联系。