Sono emersi dettagli su una vulnerabilità, ora patchata, in Google Chrome e nei browser basati su Chromium.
Se sfruttata con successo, questa vulnerabilità avrebbe potuto rendere possibile il trafugamento di file contenenti dati confidenziali.
Chromium, il problema dei symlink
Ron Masas, ricercatore di Imperva, ha dichiarato che il problema nasce dal modo in cui il browser interagisce con i symlink (collegamenti simbolici) durante l’elaborazione di file e directory.
In particolare, il browser non controllava correttamente se il link simbolico puntava a una posizione che non era destinata a essere accessibile, consentendo così il furto di file sensibili.
Google ha definito il problema di media gravità (CVE-2022-3656), come un caso di insufficiente convalida dei dati nel file system, rilasciando le relative correzioni nelle versioni 107 e 108, a ottobre e novembre 2022.
Denominata SymStealer, la vulnerabilità, nel suo nucleo, riguarda un tipo di debolezza nota come symbolic link following. Questa si verifica quando un aggressore abusa della funzione per aggirare le restrizioni del file system di un programma e operare su file non autorizzati.
L’analisi di Imperva
L’analisi di Imperva del meccanismo di gestione dei file di Chrome (e per estensione di Chromium) ha rilevato che quando un utente trascinava direttamente una cartella su un elemento input di file, il browser risolveva tutti i link simbolici in modo ricorsivo senza inoltrare alcun avviso.
In un ipotetico attacco, un attore delle minacce potrebbe indurre una vittima a visitare un sito web fasullo e a scaricare un file di archivio ZIP, contenente un link simbolico, a un file o a una cartella di valore sul computer, come chiavi e credenziali del portafoglio.
Lo stesso file symlink viene caricato nuovamente sul sito web come parte della catena di infezione. Ad esempio, un servizio di portafoglio crittografico, che richiede agli utenti di caricare le proprie chiavi di recupero. In questo caso, la vulnerabilità potrebbe essere sfruttata per accedere al file effettivo, che contiene la frase chiave attraversando il collegamento simbolico.
Per renderla ancora più affidabile, un proof-of-concept (PoC), ideato da Imperva, utilizza un trucco CSS per alterare le dimensioni dell’elemento di input del file. Il caricamento del file viene attivato indipendentemente dalla posizione della cartella nella pagina, consentendo di fatto il furto di informazioni.
Riportiamo la dichiarazione di Masas:
Gli hacker prendono sempre più di mira individui e organizzazioni che detengono criptovalute, poiché questi beni digitali possono avere un valore elevato. Una tattica comune utilizzata dagli hacker è quella di sfruttare le vulnerabilità del software […] per ottenere l’accesso ai portafogli di criptovalute e rubare i fondi in essi contenuti.
