新闻中心-凯发娱乐

三星 android 浏览器爆严重“同源策略”漏洞，或影响数亿移动设备（poc 已公布）

2018-01-02 09:29:14

hackernews.cc 12 月 29 日消息，网络安全研究人员 dhiraj mishra 近期披露了三星 android 浏览器一处关键 “同源策略”（ sop ）漏洞（），该漏洞存在于三星互联网浏览器 5.4.02.3 版本或更早版本之中，可允许攻击者在用户访问恶意网站后窃取密码或 cookie 会话等重要信息。

同源策略（sop）是现代浏览器中应用的一种安全特性，旨在使来自同一网站的 web 页面可以互动的同时，防止被不相关的网站干扰。换句话说，sop 可以确保来自一个源的 javascript 代码不会访问另一个源网站的属性。

当攻击者通过 javascript 操作在三星互联网浏览器的一个给定域名（例如：google.com）中打开一个新标签时，该 javascript 代码可在事后随意重写页面内容。这是浏览器设计中的一个禁忌，因为这意味着攻击者可以通过 javascript 违反同源策略，并且可以从一个站点（由攻击者控制）直接执行 javascript 操作后，在另一个站点（攻击者感兴趣的）采取后续行动。从本质上讲，如果受害者率先访问攻击者控制的 web 页面后，攻击者不仅可以将自定义的 javascript 代码插入到任何域名之中，还可以窃取 cookie 会话并以用户名义读写 webmail。

mishra 当时向三星报告了漏洞细节，而三星公司也表示：“补丁已经在我们即将推出的 galaxy note 8 中预装，其应用程序也将于 10 月份通过 app store 更新进行更新”。目前，mishra 已在  tod beardsley rapid7 团队 jeffrey martin 的帮助下发布了一款基于 metasploit 模块生成的 poc。

相关阅读：

mishra 和 rapid7 专家发布的以及 

消息来源：， 译者：青楚，校审：fox
本文由  翻译整理，封面来源于网络。【转自】

本站系本网编辑转载，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、凯发娱乐的版权和其它问题，请在30日内与本网联系，我们将在第一时间删除内容！[声明]本站文章凯发娱乐的版权归原作者所有 内容为作者个人观点 本站只提供参考并不构成任何投资及应用建议。本站拥有对此声明的最终解释权