Хакеры могут удаленно крашить ваш браузер Chrome и Firefox, используя поисковые предложения

Исследователи обнаружили способ крашить браузеры Chrome и Firefox на ПК с Linux и смартфонах Android

Представьте, что вы ищете ключевое слово в поиске Google, используя браузер Chrome на своем смартфоне Android. Браузер Chrome немедленно вернет наиболее вероятные предложения, соответствующие вашему запросу. Нажмите на одно из этих поисковых предложений, и вдруг вы обнаружите, что ваш браузер Chrome завис.

Это связано с ошибкой, обнаруженной исследователями безопасности из Nightwatch Cybersecurity. Исследователи выяснили, что могут манипулировать поисковыми предложениями таким образом, чтобы отправлять большие файлы в браузер и вызывать его сбой. Их метод основан на использовании функции поисковых предложений, которую поддерживают эти браузеры. Исследователи отметили, что проблема не является ошибкой программного обеспечения, а реализацией дизайна, которая позволяет выполнить их атаку.

Практически все современные браузеры имеют поле поиска или позволяют пользователям искать через адресную строку URL. В зависимости от поисковых систем, поддерживаемых внутри браузера, поисковые предложения могут отображаться по мере ввода пользователем своего запроса. Исследователи безопасности Nightwatch утверждают, что если поставщик поисковой системы браузера не защищает эти поисковые предложения через зашифрованный HTTPS-канал, злоумышленник в локальной сети может перехватить запросы поисковых предложений и ответить до поставщика поиска.

PoC

Поскольку браузеры включают несколько небезопасных поисковых систем с незащищенными конечными точками поисковых предложений, злоумышленник на уровне сети может перехватить трафик, проходящий между браузером и конечными точками поисковой системы, и подменить его. Если возвращается очень большой ответ (2+ ГБ), браузер может исчерпать память и зависнуть. Это связано с тем, что браузеры не проверяют размеры в ответах поисковых предложений. Очевидно, что это больше проблема для мобильных устройств, которые имеют меньшую память, чем настольные ПК.

Для браузера Android AOSP и Chromium эта проблема, похоже, напрямую связана с кодом обработки ответов поисковой системы. Для FireFox это более общая проблема, связанная с большими ответами XMLHTTPRequest, которые браузер использует внутренне для поисковых предложений. Наши отчеты об ошибках с поставщиками предоставляют больше деталей о том, какой код вызывает это. Это подчеркивает тот факт, что сетевой трафик НИКОГДА не должен вызывать доверия.

Без вредоносного ПО

Исследователи заявили, что хотя они и могли крашить браузеры, используя вышеописанный метод, им не удалось выполнить никакой вредоносный код с помощью этого метода. Это означает, что ошибка больше является неудобством, чем угрозой.

Результаты тестов

Исследователи протестировали свой PoC на различных устройствах, используя Chrome и Firefox, и результаты приведены ниже :

• Android AOSP стандартный браузер на Android (v4.4) – приложение зависает

• Chrome v51 на Android (v6.01) – приложение зависает

• Chrome v51 на настольном Linux (Ubuntu v16.04) – весь компьютер зависает, требуется перезагрузка (это может быть связано с отключением свопинга на SSD)

• FireFox v47 на настольном Linux (Ubuntu v16.04) и Android (v6.01) – приложение зависает

Исследователи обнаружили, что их эксплойт не влияет на браузер Safari v9.1 от Apple или Microsoft Edge и Internet Explorer 11.

Ошибка может быть использована в дикой природе, если потенциальный хакер имеет следующее в своем распоряжении:

• Злоумышленник должен контролировать DNS и сетевой трафик жертвы. Это наиболее вероятно в случаях злонамеренной точки доступа WiFi или взломанного маршрутизатора.

• Большинство браузеров имеют довольно короткий тайм-аут для ответа поисковых предложений, не позволяя достаточного времени для передачи большого пакета ответа по сети.

• Из-за очень большого размера ответа, необходимого для активации этой проблемы, она может быть использована только через широкополосные или локальные сети, такие как злонамеренная точка доступа WiFi.

Исследователи проинформировали соответствующих разработчиков браузеров о недостатке. Однако команды безопасности Android, Chrome и Firefox отказались классифицировать эту ошибку как проблему безопасности.