Flashpoint Güvenlik Açığı Araştırma ekibi, iyi bilinen bir parola yöneticisi tarayıcı uzantısı olan Bitwarden’in web sayfalarındaki gömülü iframe’leri alışılmadık bir şekilde ele aldığını gözlemledi.
Bitwarden’ın kimlik bilgilerini otomatik doldurma özelliğindeki güvensiz davranış, güvenilir web sitelerine yerleştirilmiş kötü amaçlı iframe’lerin kullanıcıların kimlik bilgilerinden yararlanarak bunları bir saldırgana iletmesine olanak tanır.
bu
Bitwarden, sorunun ilk olarak 2018’de farkına vardı, ancak iframe kullanan meşru web sitelerini desteklemek için desteklemeye karar verdi.
Bitwarden’da Otomatik Doldurma Davranışı
Bitwarden uzantısı, bir kullanıcının kimlik bilgilerini kaydettiği bir web sitesinde olduğunu algıladığında uygun oturum açma alanlarını doldurmayı önerebilir.
“Sayfa yüklendiğinde otomatik doldur” seçeneği seçilirse, kullanıcı girişi gerektirmeden kendini tamamlayacaktır.
İlginç bir şekilde, uzantılar farklı etki alanlarından olsalar bile, gömülü bir iframe’de tanımlanan formları da otomatik olarak doldurur.
Flashpoint, “Gömülü iframe’in ana sayfadaki herhangi bir içeriğe erişimi olmasa da, oturum açma formuna giriş yapılmasını bekleyebilir ve daha fazla kullanıcı etkileşimi olmadan girilen kimlik bilgilerini uzak bir sunucuya iletebilir” diyor.
Flashpoint, yüksek trafikli web sitelerinin oturum açma sayfalarında iframe’lerin ne sıklıkta yer aldığını inceledi ve az sayıdaki riskli senaryo sayesinde riskin önemli ölçüde azaldığını buldu.
Gerçekten de Flashpoint, iframe sorununu incelerken ikinci bir sorun daha buldu: Bitwarden, bir oturum açmayla eşleşen temel etki alanının alt etki alanlarındaki oturum açma bilgilerini de otomatik olarak dolduracaktı.
Otomatik doldurma etkinleştirilirse, belirli bir temel etki alanı için depolanan bir oturum açmaya karşılık gelen bir alt etki alanı altında bir kimlik avı sayfası barındıran bir saldırgan, kurban sayfaya ulaşır ulaşmaz kimlik bilgilerini alabilir.
“Web çözümleri ve içerik sağlayıcıların adil payıyla karşılaştıysanız, bunun bir sorun teşkil ettiği ortaya çıkıyor. Bazı içerik barındırma sağlayıcıları, giriş sayfalarına da hizmet eden resmi alan adlarının bir alt alanı altında keyfi içeriğin barındırılmasına izin verir”, diye açıklıyor Flashpoint.
“Örnek olarak, bir şirketin https://logins.company.tld adresinde bir giriş sayfası olması ve kullanıcıların https:// altında içerik sunmasına izin vermesi gerekir.
Potansiyel Saldırı Yöntemleri
- “Sayfa yüklendiğinde otomatik doldur” seçeneğinin açık olduğu saldırıya uğramamış bir web sitesi, saldırganın elindeki harici bir iframe’i yerleştirir.
- Bir saldırgan, örneğin bir barındırma şirketinin oturum açma formu aynı temel etki alanı altında bulunan bir alt etki alanını kullanarak, özel olarak hazırlanmış bir web sayfası yükler.
Bu nedenle, bir Bitwarden tarayıcı uzantısı kullanan bir kullanıcı bu web hizmetlerinde barındırılan özel olarak hazırlanmış bir sayfayı ziyaret ederse, bir saldırganın her etki alanı için tutulan kimlik bilgilerini çalması mümkündür.
Daha önce belirtildiği gibi, “Sayfa yüklendiğinde otomatik doldur” seçeneği etkinleştirilirse ek kullanıcı girişi gerekmez. Ayrıca, bir kullanıcı bağlam menüsü aracılığıyla oturum açtığında, iframe’lere gömülü formlar da doldurulur.
Bitwarden, belgelerinde kimlik bilgilerini çalmak için otomatik doldurma özelliğini kullanan güvenliği ihlal edilmiş sitelerin olasılığından açıkça bahsediyor ve özelliğin potansiyel bir tehlike olduğunu vurguluyor.
Bununla birlikte, kullanıcıların harici sitelerden katıştırılmış iframe’leri kullanarak hizmetlerde oturum açması gerektiğinden, Bitwarden’in mühendisleri davranışı korumayı ve yazılımın belgelerine ve uzantının ilgili ayarlar menüsüne bir uyarı koymayı seçti.
Yanıt olarak Bitwarden, iframe’lerin işlevselliğini değiştirmeyeceklerini ancak gelecekteki bir sürümde bildirilen barındırma ortamında otomatik doldurmayı engelleme sözü vereceklerini belirtti.
Ağ Güvenliği Kontrol Listesi – Ücretsiz E-Kitap İndirin