В своем блоге Балоч пишет, что проблема очень проста и связана с тем, как браузеры обрабатывают ссылки, в которых сочетаются символы арабского языка или иврита (которые записываются и читаются справа налево), и обычная латиница, знаки и цифры. Некоторые браузеры в таком случае меняют части ссылок местами, создавая у пользователя иллюзию, что он находится совсем не на том сайте, который открыт в окне браузера.

Исследователь приводит простой пример: 127.0.0.1/ا/http://example.com. Из-за использования символа «ا» ссылка превратится в http://example.com/ا/127.0.0.1. Опасность заключается в том, что пользователь будет убежден, что находится на example.com, тогда как на самом деле в его браузере может открыться совсем другой сайт.

Баг, найденный Балочем, это настоящий подарок для фишеров, которые могут встраивать такие ссылки в почтовый спам, SMS-сообщения и так далее. Когда пользователь кликнет по такой ссылке, в адресной строке браузера он увидит адрес легитимного домена, хотя на самом деле будет направлен на сервер злоумышленника.

«Часть ссылки с IP-адресом очень легко спрятать, особенно в мобильных браузерах, достаточно создать ссылку подлиннее (например: google.com/fakepath/fakepath/fakepath/… /127.0.0.1), чтобы атака выглядела еще реалистичнее, — пишет исследователь. — Можно также использовать юникод-символ, изображающий замок, имитировав наличие SSL».

Проблема затрагивает браузеры Firefox для Android (CVE-2016-5267) и Chrome, но в браузере Mozilla реализация атаки выглядела немного иначе. Для Firefox атакующий не обязательно должен был задействовать IP-адрес, здесь было достаточно использования арабских символов, к примеру, URL вида http://عربي.امارات/google.com/test/test/test превращается в google.com/test/test/test/عربي.امارات.

В настоящий момент проблема устранена в Firefox для Android, а Google обещает представить исправление для Chrome в сентябре 2016 года. Однако исследователь пишет, что такой же баг присутствует и в других браузерах. Так как патчей еще нет, Балоч не раскрывает их названий.

Пост...

P.S.-Если все кинулись тестировать другие браузеры на наличие данного бага, то не забудьте пожалуйста отписаться в данном посте. Остальным участникам сообщества и пользователям пикабу будет интересно...)))))

Трудимся в автосервисе. Работы сегодня не было, и мы с парнями пошли во дворик неподалеку пить пиво. Сидим отдыхаем на лавочке. Местные бабульки нас не гонят – ведь мы эту лавочку сварили. Заодно и им, качельку для детворы, три урны. Да и за собой всегда убираем. Они нас даже рыбкой угостили. Так вот есть там «Птичий дом». Около него на дереве много птиц обитает, почти все бабки живут в нем. Они и кормят птиц оттого, наверно, там они и загнездились.

Подъезжает грузовичок «Доставка мебели», выходят трое смотрят на тот самый дом – до него метров так 150, но прямую дорогу перегораживают бетонные блоки. О чем-то спорят. Садятся обратно, уезжают.

Через 10 минут они подъехали с другой стороны. И все равно до дома 120 метров и блок на дороге. Отрывки диалога:

- Да ты по навигатору глянь! – ругается старший.

- Уже три раза смотрел, брядь, бетонных блоков на карте нет! – припирается один из грузчиков.

- А может у «Гугла» спросить? – предлагает еще один грузчик.

- А может ты отсюда шкаф потащишь? Шутник? - опять огрызается старший. Садятся – уезжают, через десять минут подъехали в то же самое место. Мы просто ржем уже. Мужики вышли - ругаются и решили тащить шкаф от места дислокации.

- Сам тащи, если такой умный! Давай у «Гугла» спросим? – взмолился работяга.

- О,кей Гугл, как проехать… - Гугл не ответил. У парней истерика.

- Сюда иди! - сжалился наш механик Андрей. Вместе с главным мебельщиком подошел к старушкам.

- О,кей, бабульки! Как проехать к «Птичьему дому»? – он улыбается во все 22 зуба.

- Андрюша, вот за газгольдер свернете - там узкий проезд, перегорожен цепью с замком. Вот держи! - протягивает ключ.

У мужика челюсть отпала! Но он был счастлив. :)

© KpyTble_CocKu