Преступники используют уязвимость одиннадцатилетней давности против пользователей Firefox

Журналисты издания ZDNet обратили внимание на старую уязвимость в браузере Firefox, которая до сих пор доставляет пользователям множество проблем.

Впервые об этом баге разработчикам сообщили еще в 2007 году, то есть 11 лет назад, однако уязвимость так и не была исправлена. Проблема весьма проста: вредоносный сайт может встроить в свой код iframe, который отправляет аутентификационный HTTP-запрос к другому домену. В результате на сайте появляется аутентификационная форма, как на иллюстрации ниже.

Многие годы авторы малвари, фармеры рекламы и прочие мошенники используют этот баг, чтобы блокировать жертву, например, на сайте фальшивой технической поддержки, сайте с постоянно обновляющейся рекламой, сайте распространяющем малварь под видом легитимных обновлений, и так далее. Когда пользователь пытается покинуть такой ресурс, злоумышленники загружают все новые и новые аутентификационные формы, не давая ему это сделать. Это продолжается до тех пор, пока жертва не закроет браузер вообще и не начнет новую сессию.

За последние 11 лет пользователи неоднократно сообщали разработчикам Firefox об этой проблеме (1, 2, 3, 4, 5, 6, 7), но по каким-то неизвестным причинам баг по-прежнему работает, и его очень любят злоумышленники.

Один из наиболее свежих репортов о проблеме появился всего несколько дней тому назад. Пользователь рассказывает, что его пытались вынудить установить подозрительное расширение, а закрыть вредоносную вкладку было невозможно из-за диалогового окна логина. В итоге помогло лишь принудительное завершение процесса Firefox.

При этом журналисты ZDNet отмечают, что разработчики других браузеров давно решили эту проблему. Так, в Edge существует задержка между появлениями аутентификационных форм, во время которой пользователь может спокойно покинуть вредоносный сайт. В Chrome окна аутентификационных форм вообще передвинули на уровень вкладок, то есть вредоносный сайт может блокировать лишь одну вкладку, но не весь браузер, что так же дает пользователю возможность покинуть ресурс.

Источник