Trình duyệt Arc cho phép bạn tinh chỉnh trang web đã phát hiện một lỗ hổng nghiêm trọng. Một trong những tính năng phân biệt trình duyệt Arc với các đối thủ của nó là khả năng tùy chỉnh trang web. Tính năng gọi là “Boosts” cho phép người dùng thay đổi màu nền của một trang web, chuyển đổi sang một font họ thích hoặc một font giúp họ đọc dễ dàng hơn và thậm chí loại bỏ các yếu tố không mong muốn khỏi trang hoàn toàn. Các sửa đổi của họ không nên được hiển thị cho bất kỳ ai khác, nhưng họ có thể chia sẻ chúng trên các thiết bị khác nhau. Hiện nay, tác giả của Arc, Công ty Trình duyệt, đã thừa nhận rằng một nhà nghiên cứu an ninh đã phát hiện ra một lỗ hổng nghiêm trọng sẽ cho phép kẻ tấn công sử dụng Boosts để xâm nhập vào hệ thống của mục tiêu của họ.
#ArcBrowser #LỗHổngBảoMật #NghiênCứuAnNinh #TinhChỉnhTrangWeb
One of the feature that separates the Arc browser from its competitors is the ability to customize websites. The feature called “Boosts” allows users to change a website’s background color, switch to a font they like or one that makes it easier for them to read and even remove an unwanted elements from the page completely. Their alterations aren’t supposed to be be visible to anyone else, but they can share them across devices. Now, Arc’s creator, the Browser Company, has admitted that a security researcher found a serious flaw that would’ve allowed attackers to use Boosts to compromise their targets’ systems.
The company used Firebase, which the security researcher known as “xyzeva” described as a “database-as-a-backend service” in their post about the vulnerability, to support several Arc features. For Boosts, in particular, it’s used to share and sync customizations across devices. In xyzeva’s post, they showed how the browser relies on a creator’s identification (creatorID) to load Boosts on a device. They also shared how someone could change that element to their target’s identification tag and assign that target Boosts that they had created.
If a bad actor makes a Boost with a malicious payload, for instance, they can just change their creatorID to the creatorID of their intended target. When the intended victim then visits the website on Arc, they could unknowingly download the hacker’s malware. And as the researcher explained, it’s pretty easy to get user IDs for the browser. A user who refer someone to Arc will share their ID to the recipient, and if they also created an account from a referral, the person who sent it will also get their ID. Users can also share their Boosts with others, and Arc has a page with public Boosts that contain the creatorIDs of the people who made them.
In its post, the Browser Company said xyzeva notified it about the security issue on August 25 and that it issued a fix a day later with the researcher’s help. It also assured users that nobody got to exploit the vulnerability, no user was affected. The company has also implemented several security measures to prevent a similar situation, including moving off Firebase, disabling Javascript on synced Boosts by default, establishing a bug bounty program and hiring a new senior security engineer.
[ad_2]
