Журналисты издания ZDNet обратили внимание на старую уязвимость в браузере Firefox, которая до сих пор доставляет пользователям множество проблем.

Впервые об этом баге разработчикам сообщили еще в 2007 году, то есть 11 лет назад, однако уязвимость так и не была исправлена. Проблема весьма проста: вредоносный сайт может встроить в свой код iframe, который отправляет аутентификационный HTTP-запрос к другому домену. В результате на сайте появляется аутентификационная форма, как на иллюстрации ниже.

Многие годы авторы малвари, фармеры рекламы и прочие мошенники используют этот баг, чтобы  блокировать жертву, например, на сайте фальшивой технической поддержки, сайте с постоянно обновляющейся рекламой, сайте распространяющем малварь под видом легитимных обновлений, и так далее. Когда пользователь пытается покинуть такой ресурс, злоумышленники загружают все новые и новые аутентификационные формы, не давая ему это сделать. Это продолжается до тех пор, пока жертва не закроет браузер вообще и не начнет новую сессию.

За последние 11 лет пользователи неоднократно сообщали разработчикам Firefox об этой проблеме (1234567), но по каким-то неизвестным причинам баг по-прежнему работает, и его очень любят злоумышленники.

Один из наиболее свежих репортов о проблеме появился всего несколько дней тому назад. Пользователь рассказывает, что его пытались вынудить установить подозрительное расширение, а закрыть вредоносную вкладку было невозможно из-за диалогового окна логина. В итоге помогло лишь принудительное завершение процесса Firefox.

При этом журналисты ZDNet отмечают, что разработчики других браузеров давно решили эту проблему. Так, в Edge существует задержка между появлениями аутентификационных форм, во время которой пользователь может спокойно покинуть вредоносный сайт. В Chrome окна аутентификационных форм вообще передвинули на уровень вкладок, то есть вредоносный сайт может блокировать лишь одну вкладку, но не весь браузер, что так же дает пользователю возможность покинуть ресурс.

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    0 комментариев
    Межтекстовые Отзывы
    Посмотреть все комментарии