Opera in Pericolo: la vulnerabilità MyFlaw rende possibile l’esecuzione di file da parte degli hacker criminali

Redazione RHC : 15 Gennaio 2024 18:20

I ricercatori di sicurezza di Guardio Labs hanno scoperto una grave falla di sicurezza nel browser web Opera per i sistemi operativi Windows e macOS. Con il suo aiuto, gli aggressori possono eseguire qualsiasi file, compresi quelli dannosi, sul sistema operativo di base del computer.

Gli esperti hanno assegnato alla vulnerabilità il nome in codice “MyFlaw” (un gioco di parole, tradotto letteralmente come “la mia vulnerabilità”). Poiché è associata alla funzione “My Flow”, che consente di sincronizzare messaggi e file tra dispositivi mobili e desktop .

Per implementare la vulnerabilità viene utilizzata un’estensione del browser controllata dall’aggressore, che sostanzialmente aggira la sandbox . Il problema riguarda sia la versione normale di Opera che Opera GX.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

My Flow ha un’interfaccia simile a una chat e viene utilizzato per condividere note e file tra lo smartphone e il computer desktop. A quanto pare, i file di questa chat possono essere avviati direttamente tramite l’interfaccia web del browser, al di fuori del contesto di sicurezza.

Il funzionamento di My Flow è assicurato da un’estensione integrata chiamata “Opera Touch Background”. L’estensione contiene il proprio file manifest, che ne specifica il comportamento. Nonché tutte le autorizzazioni necessarie, inclusa la proprietà “externally_connectable”, che dichiara quali altre pagine web ed estensioni possono connettersi ad essa.

I domini che possono comunicare con l’estensione devono corrispondere ai pattern “*.flow.opera.com” e “.flow.op-test.net”, controllati dallo stesso sviluppatore del browser. Tuttavia, i ricercatori di Guardio Labs hanno scoperto una versione “dimenticata” della pagina iniziale di My Flow sul dominio “web.flow.opera.com”.

La pagina trovata è visivamente simile alla versione corrente. Differisce per l’assenza di un tag sulla politica di sicurezza del contenuto e per la presenza di un tag script che richiama un file JavaScript senza verificarne l’integrità.

“Questo è esattamente ciò di cui un utente malintenzionato ha bisogno: una risorsa insicura, dimenticata e vulnerabile all’iniezione di codice con un accesso privilegiato molto elevato all’API del browser”. Afferma il rapporto di Guardio Labs.

L’ultima catena di attacco prevede che l’aggressore crei un’estensione speciale che si maschera da dispositivo mobile per comunicare con il computer della vittima. Successivamente trasmetta codice dannoso crittografato attraverso un file JavaScript modificato per la successiva esecuzione semplicemente toccando lo schermo dell’utente.

“Nonostante operino in ambienti isolati, le estensioni possono diventare potenti strumenti per gli hacker. Consentono loro di rubare informazioni e violare i limiti di sicurezza del browser”, hanno affermato i ricercatori.

I rappresentanti di Opera hanno risolto la vulnerabilità il 22 novembre 2023, appena 5 giorni dopo la divulgazione. Gli sviluppatori hanno anche implementato correzioni lato server e adottato una serie di misure per prevenire problemi simili in futuro. Per motivi di sicurezza, si è deciso di rendere pubblica la vulnerabilità solo ora.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli