Facebook tem uma porta secreta aberta no Edge que permite rodar Flash sem que o usuário saiba

Você está preocupado com a privacidade dos seus dados? Bem, aguardem que as curvas estão chegando. Um pesquisador de segurança descobriu uma falha que afeta o navegador da Microsoft, o Edge. Enquanto aguarda um hotfix para fazer o s alto para o mecanismo de renderização baseado no Chromium, os problemas permanecem para o Edge.

O alerta, como em outras ocasiões, vem do Google Project Zero, departamento encarregado de investigar e detectar bugs e falhas em aplicativos e sistemas operacionais. E neste caso Ivan Fratric, (@ifsecure), detectou um bug no Edge que permite que o código Flash seja executado sem que o usuário saiba .

Barra Grátis para Flash

Para obter um histórico, temos que viajar no tempo até o final de 2018. Do Google Project Zero eles descobriram uma lista branca(lista branca) no Edge. É uma lista que funciona da mesma forma que podemos usar em _smartphones_, exceto que ao invés de usar números de telefone usa serviços web.

No total, esta lista deu às nossas equipes acesso gratuito para que até 58 sites de todos os tipos pudessem executar código baseado em Adobe Flashe tudo isso, claro, sem que a parte afetada tenha conhecimento disso. Esse era o problema.

"

A Microsoft foi informada sobre o problema, o Edge foi corrigido e, embora tenham resolvido a raiz do problema, eles não conseguiram eliminar todas as ameaçasEles persistiram em dois sites que ainda tinham permissões para executar o Flash.E ambos estavam sob a influência do Facebook. Estes são os dois domínios privilegiados:"

• https://www.facebook.com
• https://apps.facebook.com

"

Isso significa que qualquer widget executado em Flash e incluído em qualquer um desses domínios, pode violar as medidas de segurança da MicrosoftAlém disso, O próprio Fratric descobriu um novo risco através do qual a política clicktorun que o Edge ostenta poderia ser contornada e que concede o controle de acesso ao computador ao usuário. É este que pode admitir ou negar a execução deste tipo de serviços. Uma falha de segurança importante, já que o código Flash pode ser executado por esses domínios ou até mesmo por meio de um ataque MITM (Man In The Middle)."

"

De acordo com o aviso no site, _quando você visita um site que tenta carregar conteúdo em Flash enquanto navega com o Microsoft Edge começando com o Windows 10 Creators Update, você pode perceber que certos aspectos do site não t funcionar corretamente da maneira que você espera. Esse comportamento inesperado pode ser o resultado do bloqueio do Flash por padrão devido ao recurso Flash Click-to-Run_. Em teoria deveria ser assim que funciona"

A Nail to Edge

Este fato é especialmente grave, pois significa que a segurança e a integridade dos dados do usuário estão em risco. Aliás, contraria as políticas de segurança da Edge, que combate o uso fraudulento desse tipo de prática.

"

É um desserviço que ações como essa prestam ao Edge, um navegador com saúde delicada que já vê como a Microsoft estabeleceu um data da morte quando no Windows 10 Outubro de 2019 Atualizar o novo Edge é uma realidade."

Via | Imagem da capa do ZDNet | iAmMrRob