Güvenlik araştırmacıları, MacOS ve Linux kullanıcılarını etkileyen ve yerel ağlara sızmak için kullanılabilen bir tarayıcı açığını ortaya çıkardı.
Oligo Security tarafından tarayıcı üreticilerine bildirilen güvenlik açığına “0.0.0.0 Günü” adı verildi ve araştırmacılar bir blog yazısında “tarayıcıların ağ isteklerini nasıl işlediğine ilişkin temel bir kusuru ortaya çıkarıyor” dedi.
“Oligo araştırmacıları, halka açık web sitelerinin (.com ile biten alan adları gibi) yerel ağda (localhost) çalışan hizmetlerle iletişim kurabildiğini ve localhost/127.0.0.1 yerine 0.0.0.0 adresini kullanarak ziyaretçinin ana bilgisayarında potansiyel olarak rastgele kod çalıştırabildiğini buldular.”
Oligo, sorunun “tarayıcılar arasında güvenlik mekanizmalarının tutarsız uygulanması ve tarayıcı sektöründeki standartlaştırma eksikliğinden” kaynaklandığını söyledi.
Nisan ayında Chromium, Firefox ve Safari tarayıcı üreticilerine yönelik güvenlik açığını açıklamıştı.
Araştırmacılar, “Her şirketin tarayıcı ekipleri güvenlik açığını kabul etti ve ilgili standardı değiştirmek için çalışacak ve ayrıca tarayıcı düzeyinde hafifletmeler uygulayacak” diye yazdı.
“Sonuçta tüm tarayıcılar 0.0.0.0’ı engelleyecek, ancak aynı zamanda pazar, uyulması gereken ortak bir standart da talep ediyor.
“Güvenlik açığının doğası ve yamanın tarayıcılar arasında karmaşıklığı nedeniyle, bu durum istismar edilebilir olmaya devam ediyor ve harici web sitelerinin localhost’taki hizmetlerle iletişim kurmasına olanak tanıyor.”
Oligo, hem Google’ın hem de Apple’ın değişiklik yaptığını söyledi.
Oligo, “Chrome, Chromium 128’den başlayarak 0.0.0.0’a (Finch Rollout) erişimi engelliyor. Google, bu değişikliği önümüzdeki birkaç sürümde kademeli olarak kullanıma sunacak ve Chrome 133’e kadar tamamlayacak. Bu noktada IP adresi tüm Chrome ve Chromium kullanıcıları için tamamen engellenecek” dedi.
“Elma [also] 0.0.0.0’a erişimi engelleyen WebKit’te kırıcı değişiklikler yapıldı.”
Araştırmacılar, “Firefox’ta acil bir düzeltme olmadığını” ancak bunun “devam ettiğini” söyledi. 0.0.0.0’ın “Firefox tarafından… belirsiz bir gelecekte engelleneceğini” eklediler.