Resumen
- Un investigador encontró una falla de seguridad en Arc Browser, lo que permite una cadena de exploits potencialmente dañina.
- Ella informó el error, fue recompensada por ello y el problema ya se solucionó, sin afectar a los usuarios.
- Los aumentos en Arc se asignaron a las identificaciones de usuario, pero el exploit permitió al usuario modificarlos, accediendo potencialmente a otros navegadores.
El navegador Arc ha estado en alza recientemente con sureciente lanzamiento en Windows. La gente ha estado probando el nuevo navegador y comparándolocon navegadores populares como Chrome. Sin embargo, un investigador descubrió una falla desagradable que les permitía secuestrar los navegadores de otros usuarios y, si bien es una cadena de ataques particularmente aterradora, la falla se ha solucionado mucho antes de que usted haya hecho clic en este artículo.
Reseña de ProtonVPN: cifrado de Internet con el mejor rendimiento en streaming y descarga de torrents
Cambie su dirección IP a ubicaciones en 69 países con ProtonVPN en computadoras de escritorio y dispositivos móviles, con acceso a servidores P2P y de streaming optimizados
Arc corrige un grave fallo de seguridad en su navegador
Como se anunció en elblog de Arc, la compañía se enteró del exploit a través dexyzeva, quien se define a sí misma como una "pentester (no) profesional". Es posible que deba actualizar su currículum pronto, ya que logró ganar $2000 de Arc al informar sobre un exploit dentro del navegador.
Xyzeva encontró un exploit dentro de Arc Boosts, que permitía a la gente ejecutar "CSS y Javascript personalizados" en cualquier sitio web. Por supuesto, hacer pública y compartible una característica de este tipo era una opción fácil de usar, por lo que Arc asignó cada boost a un ID de usuario para que solo su diseñador pudiera usarlo. Estos boosts luego se guardaban en un almacenamiento en la nube para que el usuario pudiera acceder a ellos en cualquier dispositivo.
Xyzeva investigó la función Arc Boost y descubrió que podía modificar el ID de usuario de un boost a su gusto. Para aprovechar esto, programó un boost para que ejecutara código arbitrario malicioso cada vez que alguien visitara un sitio web popular y luego le asignó el ID de usuario de la víctima al boost. Dice que podía obtener fácilmente este ID de usuario a través de varios métodos de extracción de datos.
Cuando la víctima iniciaba Arc, el navegador obtenía el boost malicioso que le había asignado xyzeva y lo ejecutaba cada vez que visitaba el sitio web que ella había designado en el boost. Esto daba como resultado un ataque desagradable que le permite, en sus propias palabras, "obtener acceso al navegador de cualquier persona sin que esta visite un sitio web". Xyzeva lo demostró con un Boost de Arc que mostraba una ventana emergente que decía "¡arf awrf!" cada vez que su víctima objetivo visitaba Google: un ataque inofensivo, pero algo que fácilmente podría convertirse en algo realmente siniestro.
Si estás en Arc, no te preocupes. Como xyzeva es una pentester profesional, informó del error a Arc mucho antes de su publicación en el blog y el problema ya se ha solucionado. Arc afirmó que xyzeva fue la única persona que descubrió la falla, lo que significa que ningún miembro se vio afectado por el exploit malicioso de Arc Boost. De todos modos, si tienes el navegador, tal vez ahora sea un buen momento para actualizarlo.