Tym przeglądarkom zagrażają ataki wykorzystujące podatność 0.0.0.0-day

Jest to luka wykorzystująca podatność 0.0.0.0-day, którą informatycy znają od wielu lat. Luka ta wynika z niespójnych mechanizmów bezpieczeństwa w różnych przeglądarkach i braku standaryzacji, która pozwala publicznym stronom internetowym na interakcję z lokalnymi usługami sieciowymi przy użyciu adresu IP 0.0.0.0. Luka ta pozwalała publicznym stronom internetowym dostać się do lokalnych zasobów komputera.

Informatycy od dawna podejmowali wysiłki, aby problem ten rozwiązać. I tak Google wprowadziło np. do użytku specyfikację Private Network Access (PNA), która ma chronić użytkowników przed tego typu atakami. Obrona polega na zabronieniu stronom internetowym wysyłania żądań do lokalnych adresów IP, takich jak 127.0.0.1 lub 192.168.1.1. Jednak firma Oligo odkryła, że 0.0.0.0 nie znajduje się na liście adresów IP, które są uważane za prywatne lub lokalne.

Zobacz również:

Firma Oligo udowodniła, że przeglądarki takie jak Safari, Firefox i Chrome, a także inne przeglądarki bazujące na silniku Chromium, mają poważną lukę w zabezpieczeniach, która do tej pory nie została załatana. Jednak komputery z systemem Windows nie są podatne w takie ataki. Apple i Google pracują już nad poprawkami. Google wprowadziło do przeglądarki Chrome zmianę, która likwiduje ten problem. Zmiana taka została już wprowadzona do Chrome 128.

Dla użytkowników Safari Apple wprowadziło zmiany w WebKit, które blokują dostęp do 0.0.0.0. Zmiany te mają zostać zaimplementowane w przeglądarce Safari 18, która jest obecnie dostępne w wersji beta macOS Sequoia. Użytkownicy Firefoksa muszą poczekać trochę dłużej na taką poprawkę. Mozilla poinformowała bowiem, że zablokowanie podatności może spowodować uszkodzenie serwerów korzystających z tego adresu i że na razie nie nałożyła jeszcze żadnych ograniczeń na dostęp do adresu 0.0.0.0. Jednak trwają cały czas prace nad zablokowaniem takiego adresu w przyszłości.

Zgłoś naruszenie/Błąd