Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Browser / Microsoft Edge

Microsoft Edge

Bug Microsoft Edge Dapat Membiarkan Peretas Mencuri Rahasia Anda untuk Situs Apa Pun

by

Microsoft minggu lalu meluncurkan pembaruan untuk browser Edge dengan perbaikan untuk dua masalah keamanan, salah satunya menyangkut kerentanan bypass keamanan yang dapat dieksploitasi untuk menyuntikkan dan mengeksekusi kode dalam konteks situs web mana pun.

Dilacak sebagai CVE-2021-34506 (skor CVSS: 5,4), kelemahannya berasal dari masalah skrip lintas situs universal (UXSS) yang dipicu saat menerjemahkan halaman web secara otomatis menggunakan fitur bawaan browser melalui Microsoft Translator.

Peneliti yang menemukan dan melaporkan CVE-2021-34506 adalah Ignacio Laurence serta Vansh Devgan dan Shivam Kumar Singh dengan CyberXplore Private Limited.

“Tidak seperti serangan XSS umum, UXSS adalah jenis serangan yang mengeksploitasi kerentanan sisi klien di browser atau ekstensi browser untuk menghasilkan kondisi XSS, dan mengeksekusi kode berbahaya,” kata peneliti CyberXplore dalam sebuah artikel yang dibagikan dengan The Hacker News.

Secara khusus, para peneliti menemukan bahwa fitur terjemahan memiliki sepotong kode rentan yang gagal untuk membersihkan input, sehingga memungkinkan penyerang untuk berpotensi memasukkan kode JavaScript berbahaya di mana saja di halaman web yang kemudian dieksekusi ketika pengguna mengklik prompt di bilah alamat untuk menerjemahkan halaman.

Sebagai eksploitasi proof-of-concept (PoC), para peneliti menunjukkan kemungkinan untuk memicu serangan hanya dengan menambahkan komentar ke video YouTube, yang ditulis dalam bahasa selain bahasa Inggris, bersama dengan muatan XSS.

Selengkapnya: The Hacker News

Microsoft meluncurkan Edge 90, dengan pencarian riwayat baru, Mode Anak, untuk pengguna umum

by

Microsoft meluncurkan versi terbaru dari browser Edge barunya kepada pengguna umum hari ini, 15 April – hari yang sama saat Google meluncurkan Chrome 90. Microsoft’s Edge 90 menyertakan sejumlah fitur baru, termasuk opsi pencarian riwayat baru dan Mode Anak , yang telah diuji selama beberapa bulan terakhir.

Password Monitor, yang dimaksudkan untuk melindungi kata sandi pengguna dengan memberi tahu mereka jika kredensial mereka telah disusupi, juga dianggap sebagai bagian dari peluncuran Edge 90. Microsoft mulai meluncurkan Monitor Kata Sandi pada Januari 2021 sebagai bagian dari Edge 88, tetapi pada Edge 90, sekarang tersedia untuk semua pengguna

Fitur baru lainnya yang merupakan bagian dari Edge 90, menurut halaman Microsoft’s Edge “What’s Next”, termasuk dukungan untuk pengikatan token TLS untuk situs yang dikonfigurasi dengan kebijakan; opsi “halaman saat ini” untuk mencetak dokumen PDF; kemampuan untuk menghapus kata sandi secara massal; perbaikan rendering font; dan dukungan riwayat browser yang disinkronkan untuk penelusuran riwayat. Mulai versi 90, Edge juga sekarang mendukung istilah pencarian yang lebih mudah sehingga pelanggan dapat mencari riwayat penelusuran mereka dengan kata-kata mereka sendiri dengan istilah seperti “artikel berita dari minggu lalu,” kata pejabat.

selengkapnya : www.zdnet.com

Bug di Firefox, Chrome, Edge Memungkinkan Pembajakan Sistem Jarak Jauh

by

Pembuat browser Chrome, Firefox, dan Edge mendesak pengguna untuk menambal kerentanan kritis yang jika dieksploitasi memungkinkan peretas untuk membajak sistem yang menjalankan perangkat lunak tersebut.

Kerentanan Mozilla Firefox (CVE-2020-16044) terpisah dari bug yang dilaporkan di mesin browser Google Chromium, yang digunakan di browser Google Chrome dan browser Edge versi terbaru Microsoft.

Pada hari Kamis, Cybersecurity and Infrastructure Security Agency (CISA) mendesak pengguna browser Firefox Mozilla Foundation untuk menambal bug, dilacak sebagai CVE-2020-16044, dan dinilai sebagai kritis. Kerentanan tersebut diklasifikasikan sebagai bug use-after-free dan terkait dengan cara Firefox menangani cookie browser dan jika dieksploitasi memungkinkan peretas untuk mendapatkan akses ke komputer, ponsel, atau tablet yang menjalankan perangkat lunak browser.

Yang terkena dampak adalah versi browser Firefox yang dirilis sebelum Firefox desktop 84.0.2 yang baru-baru ini dirilis, edisi Firefox Android 84.1.3, dan juga versi Firefox ESR 78.6.1 perusahaan Mozilla.

Bug Browser Chromium Berdampak pada Chrome dan Edge

Juga pada hari Kamis, CISA mendesak pengguna Windows, macOS, dan Linux dari browser Chrome Google untuk menambal bug penulisan di luar batas (CVE-2020-15995) yang memengaruhi versi 87.0.4280.141 saat ini. Peringatan CISA-bug menyatakan bahwa pembaruan ke versi terbaru browser Chrome akan “mengatasi kerentanan yang dapat dieksploitasi oleh penyerang untuk mengendalikan sistem yang terpengaruh”.

Karena browser Edge terbaru Microsoft didasarkan pada mesin browser Google Chromium, Microsoft juga mendesak penggunanya untuk memperbarui ke versi 87.0.664.75 terbaru dari browser Edge-nya.

sumber : Threatpost

Tiga juta pengguna memasang 28 ekstensi Chrome atau Edge yang berbahaya

by

Lebih dari tiga juta pengguna internet diyakini telah menginstal 15 Chrome, dan 13 ekstensi Edge yang berisi kode berbahaya, kata perusahaan keamanan Avast hari ini.

28 ekstensi berisi kode yang dapat melakukan beberapa operasi berbahaya. Avast mengatakan menemukan kode untuk:

  • mengarahkan lalu lintas pengguna ke iklan
  • mengarahkan lalu lintas pengguna ke situs phishing
  • mengumpulkan data pribadi, seperti tanggal lahir, alamat email, dan perangkat aktif
  • kumpulkan riwayat penelusuran
  • mengunduh malware lebih lanjut ke perangkat pengguna

Di bawah ini adalah daftar ekstensi Chrome yang menurut Avast mengandung kode berbahaya:

  • Direct Message for Instagram
  • DM for Instagram
  • Invisible mode for Instagram Direct Message
  • Downloader for Instagram
  • App Phone for Instagram
  • Stories for Instagram
  • Universal Video Downloader
  • Video Downloader for FaceBook™
  • Vimeo™ Video Downloader
  • Zoomer for Instagram and FaceBook
  • VK UnBlock. Works fast.
  • Odnoklassniki UnBlock. Works quickly.
  • Upload photo to Instagram™
  • Spotify Music Downloader
  • The New York Times News

Di bawah ini adalah daftar ekstensi Edge yang menurut Avast mengandung kode berbahaya:

  • Direct Message for Instagram™
  • Instagram Download Video & Image
  • App Phone for Instagram
  • Universal Video Downloader
  • Video Downloader for FaceBook™
  • Vimeo™ Video Downloader
  • Volume Controller
  • Stories for Instagram
  • Upload photo to Instagram™
  • Pretty Kitty, The Cat Pet
  • Video Downloader for YouTube
  • SoundCloud Music Downloader
  • Instagram App with Direct Message DM

sumber : ZDNET

Microsoft menghapus 18 ekstensi Edge berbahaya karena memasukkan iklan ke halaman web

by

Microsoft telah menghapus 18 ekstensi browser Edge dari portal Edge Add-ons setelah ekstensi-ekstensi tersebut tertangkap menyuntikkan iklan ke halaman hasil pencarian web pengguna.

Ekstensi telah dihapus antara 20 November dan 25 November setelah Microsoft menerima banyak keluhan dari pengguna melalui Reddit.

Penyelidikan berikutnya menemukan beberapa ekstensi yang disalahgunakan yang telah diunggah di portal Add-on Edge baru dari Microsoft.

Menurut daftar yang dibagikan oleh manajer komunitas Microsoft, 18 ekstensi dapat dikelompokkan menjadi dua kategori.

Yang pertama adalah untuk ekstensi yang mencoba lolos sebagai versi resmi dari berbagai aplikasi, meskipun aplikasi tersebut tidak memiliki versi resmi untuk Edge. Seperti;

  • NordVPN
  • Adguard VPN
  • TunnelBear VPN
  • Ublock Adblock Plus
  • Greasemonkey
  • Wayback Machine

Daftar kedua berisi ekstensi yang disalin dari ekstensi Chrome asli, porting ke Edge, dan kemudian kode berbahaya dimasukkan. Ini termasuk;

  • The Great Suspender
  • Floating Player – Picture-in-Picture Mode
  • Go Back With Backspace
  • friGate CDN – smooth access to websites
  • Full Page Screenshot
  • One Click URL Shortener
  • Guru Cleaner – cache and history cleaner
  • Grammar and Spelling Checker
  • Enable Right Click
  • FNAF
  • Night Shift Redux
  • Old Layout for Facebook

Sumber: ZDNet