Serangkaian kerentanan spoofing address-bar yang memengaruhi sejumlah browser seluler membuka pintu bagi pengiriman malware, phishing, dan kampanye disinformasi.
Bug tersebut, dilaporkan oleh Rapid7 dan peneliti independen Rafay Baloch, memengaruhi enam browser, mulai dari yang umum (Apple Safari, Opera Touch/Mini, dan Yandex), hingga yang kurang umum (Bolt Browser, RITS Browser, dan UC Browser). Mereka memungkinkan penyerang menampilkan alamat palsu untuk halaman web – yang merupakan masalah di dunia seluler, di mana URL sering kali menjadi satu-satunya verifikasi keabsahan yang dimiliki pengguna sebelum menavigasi ke situs web.
“Browser seluler adalah jenis perangkat lunak yang cukup khusus yang akhirnya bertindak sebagai jalur ganda pengguna untuk semua jenis aplikasi penting dalam kehidupan sehari-hari mereka,” jelas direktur riset Rapid7 Tod Beardsley, dalam sebuah blog pada hari Selasa. Pada dasarnya, jika browser Anda memberi tahu Anda bahwa pemberitahuan pop-up atau halaman ‘dari’ bank Anda, atau beberapa layanan penting lainnya yang Anda andalkan, Anda benar-benar harus memiliki beberapa mekanisme untuk memvalidasi sumber itu. Di browser seluler, sumber itu dimulai dan diakhiri dengan URL seperti yang ditunjukkan di address bar.”
Karena kurangnya real estat untuk indikator keamanan di layar seluler, browser biasanya memblokir pengembang untuk mengubah apa pun di address bar. Apa yang ditampilkan di layar harus sesuai dengan tempat halaman sebenarnya dihosting, sehingga hampir tidak mungkin untuk memalsukan lokasi teks atau gambar secara meyakinkan. Namun, kelompok bug ini memungkinkan penyerang untuk menghindari perlindungan semacam itu.
“Bug ini memungkinkan penyerang untuk mengganggu waktu antara pemuatan halaman dan ketika browser mendapat kesempatan untuk menyegarkan address bar,” kata Baloch, dalam makalah teknis yang juga diposting pada hari Selasa.
“Mereka dapat menyebabkan pop-up tampak berasal dari situs web arbitrer atau dapat membuat konten di jendela browser yang secara keliru tampak berasal dari situs web arbitrer.”
Baloch merilis eksploitasi bukti konsep (PoC) yang mendemonstrasikan kerentanan spoofing berbasis browser di Safari untuk iOS dan Mac (CVE-2020-9987).
Berikut adalah daftar browser yang terpengaruh dan CVE yang ditetapkan:
Berita selengkapnya:
Source: The Threat Post
