Expertos en auditorías de seguridad web reportan el hallazgo de una vulnerabilidad crítica en la extensión de Evernote para Chrome que, de ser explotada, permitiría a los hackers secuestrar el navegador de la víctima y extraer información confidencial sobre los sitios web visitados.
Cabe mencionar que Evernote es un servicio ampliamente utilizado que ayuda a los usuarios a tomar notas y organizar sus listas de tareas pendientes; según números de sus creadores, actualmente la extensión Ebernote Web Clipper para el navegador Chrome cuenta con más de 4 millones 500 mil usuarios.
La vulnerabilidad, que fue identificada como CVE-2019-12592 y descubierta por expertos en auditorías de seguridad web de la firma Guardio, existe debido a la forma en la que la extensión de Chrome interactúa con los sitios web, iframes y scripts, rompiendo con la política del mismo origen (SOP) y los mecanismos de aislamiento de dominio.
En su reporte, los expertos mencionan que, al explotar la falla, un sitio web bajo control de los actores de amenazas podría ejecutar código arbitrario en el navegador en el contexto de otros dominios a nombre de los usuarios, lo que desencadena una condición universal de secuencias de comandos entre sitios (UXSS). “Un exploit que permita cargar un script controlado por el atacante puede ser empleado con sólo un comando window.postMessage”, menciona el informe de los expertos. “Abusando de la infraestructura de Evernote, el script malicioso se inyecta en todos los marcos de la página”.
Los expertos en auditorías de seguridad web crearon un exploit de prueba de concepto que puede ser utilizado para inyectar una carga útil especialmente diseñada en el sitio web objetivo para robar cookies de navegación, credenciales de acceso a plataformas web, entre otra información confidencial de la víctima.
Los especialistas del Instituto Internacional de Seguridad Cibernética (IICS) consideran que, si bien las extensiones de navegador pueden agregar funciones verdaderamente útiles, es complicado asegurarse de que todos los desarrollos de terceros funcionan correctamente, lo que deja el camino abierto para múltiples fallas de seguridad y hackers dispuestos a explotarlas.
La compañía fue notificada de la vulnerabilidad y lanzó una versión corregida para los usuarios de Chrome. Este navegador busca periódicamente versiones actualizadas de las extensiones instaladas por el usuario, por lo que el usuario no requiere realizar acciones adicionales.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
