Vulnerabilità: l’accesso agli Appunti è gratuito nei browser basati su Chromium

I browser Web basati su Chromium come Microsoft Edge o Google Chrome consentono ai siti Web nella loro versione corrente di accedere agli Appunti di sistema senza l’interazione dell’utente. Ciò consente ai siti Web di inserire i propri dati negli appunti, che gli utenti deprecati possono successivamente copiare nei moduli, ad esempio. Questo diventa un rischio quando si tratta di transazioni in criptovaluta o dati simili.

Il motivo è un’interazione utente disabilitata e non necessaria: un dipendente Microsoft ha riscontrato un problema di test durante l’apertura di una nuova scheda di lavoro NewTabPageDoodleShareDialogFocusTest.All fallito. Tuttavia, senza un’azione preventiva necessaria da parte dell’utente come premere la combinazione di tasti Ctrl + C per accedere agli appunti, tutto funziona come previsto. Senza ulteriori indugi, il requisito obbligatorio dell’utente dovrebbe lasciare il posto ai test delle prestazioni.

È possibile accedere agli appunti come soluzione alternativa per Frickel

in Lo sviluppatore spiega il rapporto di errore Almeno questa non è una buona soluzione e deve essere parafrasata: “Per ora stiamo disabilitando i requisiti di interazione dell’utente per leggere/scrivere testo, ma dovremmo riconsiderarlo”. Nel bug tracker è sorta una disputa in corso su quanto sia importante una correzione per questo comportamento imprevisto e critico per la sicurezza. Dopotutto, gli sviluppatori hanno riconosciuto una certa urgenza.

Altri browser web come D’altra parte, Safari o Firefox impongono un’azione utente precedente per accedere agli appunti. Ora che l’attuale comportamento scorretto dei browser Web basati su Chromium per quanto riguarda gli appunti è noto, la correzione non dovrebbe tardare ad arrivare.

Tuttavia, affinché i browser Web come Chrome o Edge siano protetti a questo proposito, gli utenti devono verificare attentamente se i dati sono effettivamente corretti prima di incollare il contenuto copiato in moduli o documenti. Se un sito Web visitato copia un indirizzo Bitcoin o un numero di portafoglio errato negli appunti, il denaro crittografato potrebbe fluire irrimediabilmente al destinatario sbagliato, cosa che il malware Evrial ha fatto monitorando e manipolando gli appunti.

(DMK)