Исследователи из DrWeb обнаружили проблему в механизме обновления отдельных библиотек UcBrowser, который делал это по http вместо https, надеясь на собственный протокол шифрования. Подпись устанавливаемых с сервера библиотек не проверялась. Это позволяло с помощью MitM’а загружать и выполнять свой код на Android устройствах пользователей.

Видео с демонстрацией: https://youtu.be/Nfns7uH03J8

Полное описание проблемы тут:
https://vms.drweb.ru/search/?q=UC%20Browser

Появились слайды с Zer0con про устройство и уязвимости TurboFan - JavaScript компилятора в V8.

https://docs.google.com/presentation/d/1DJcWByz11jLoQyNhmOvkZSrkgcVhllIlCHmal1tGzaw

Появился PoC для use after free под FireFox (CVE-2018-18500). Интересно в нем то, что он использует задержку по времени ответа со стороны веб-сервера.

https://github.com/sophoslabs/CVE-2018-18500/

Ребята из Google выложили первоклассное и наиболее полное исследование про Uxss в Chromium.

Там есть про причины появления таких уязвимостей, описаны способы исправления, хардеринги и фаззинг.

Читать тут: https://storage.googleapis.com/pub-tools-public-publication-data/pdf/f5a8289d4f69e9e34b38a1e7c05ef4818b22cd5b.pdf

ZDI поделилась PoC’ами для уязвимостей в FireFox, найденных в ходе Pwn2Own 2019 (CVE-2019-9810 и CVE-2019-9813).

https://www.thezdi.com/blog/2019/4/18/the-story-of-two-winning-pwn2own-jit-vulnerabilities-in-mozilla-firefox

А ещё подробное описание 9813 можно найти тут:

https://bugs.chromium.org/p/project-zero/issues/detail?id=1810

Ребята из Project Zero выложили пост про технику sandbox escaping’a в Chromium через MojoJs биндинги:
https://googleprojectzero.blogspot.com/2019/04/virtually-unlimited-memory-escaping.html?m=0

Хорошая иллюстрация того, что выйти из песочницы у современного Chromium’а не так-то просто. Нужен arbitary read/write, несколько видов спреинга разными объектами и rop.

Полный код fullchain сплойта на базе CVE-2019-5782 можно посмотреть тут: https://bugs.chromium.org/p/project-zero/issues/detail?id=1755#c3

Еще одна атака с использованием CSS была в FF. Интересно то, что благодаря HTTP/2 эксплойт срабатывает очень быстро, без необходимости держать пользователя на странице.

https://research.securitum.com/css-data-exfiltration-in-firefox-via-single-injection-point/

Забавный, но действенный шаг. Многие сайты собирают информацию о браузере и окружении (WebRTC, Canvas и вот это вот все, например, с помощью популярной fingerprintjs). Но браузер Brave решил генерить фингерпринты на лету и из коробки.

https://brave.com/whats-brave-done-for-my-privacy-lately-episode3/

Сафари крутой!
Можно было сделать кнопку «Поделиться», отправив ссылку другу, а на деле прикрепив локальные файлы 🤷🏻‍♂️

https://blog.redteam.pl/2020/08/stealing-local-files-using-safari-web.html

А в хроме недавно можно было обойти CSP, используя гонку в JS.

https://www.perimeterx.com/tech-blog/2020/csp-bypass-vuln-disclosure/

Тут состряпали 1day эксплойт на CVE-2020-6507: Out of bounds write in V8.
Chrome <= 83.0.4103.61

https://github.com/r4j0x00/exploits/tree/master/chrome-exploit

По всей видимости, мы скоро можем попращаться с Reverse Tabnabbing.

Начиная с версии Chrome 88, браузер по-умолчанию будет считать ссылки с target=_blank как noopener и таким образом присоединится к Safari и Firefox, которые уже, к вашему сведению, так делают.

В двух словах об атаке. Если кто не знает, в HTML-теге <a>, предназначенном для создания ссылок, можно установить аттрибут target со значением _blank и тогда, по нажатию на такую ссылку в браузере, она будет открываться в новой вкладке. Сайт, на который ведет такая ссылка, может получить доступ к свойству window.opener и, к примеру, перенаправить пользователя на фишинговую страницу во вкладке, с которой он пришел.

#news

2020 потрясающий год. Помимо всего прочего, в Chrome можно подделать заголовок Referer, чего не было более десяти лет (раньше с помощью Flash можно было подменить этот заголовок).
PoC был выложен несколько дней назад и совершенно тривиальный:

<base href="https://www.google.com/">
<style>
@import 'https://CSRF.vulnerable.example/';
</style>

Запрос к сайту уйдет с заголовком
Referer: https://www.google.com/

К счастью, половину интернета этим не заломаешь (SameSite cookie, вот это все), но имейте в виду.

Упс, 0day RCE в паблике:

https://github.com/r4j0x00/exploits/tree/master/chrome-0day

Забавный ресерч. Будь я хакером, я бы рассматривал хром как точку входа для какого-нибудь pwn2own.

ELECTRIC CHROME - CVE-2020-6418 on Tesla Model 3

https://leethax0.rs/2021/04/ElectricChrome

кстати, я на днях ресерч опубликовал - не совсем по сабжу но тоже про браузеры

https://fingerprintjs.com/blog/external-protocol-flooding/

сорсы + демка
https://github.com/fingerprintjs/external-protocol-flooding

Хотите научится искать уязвимости в V8, но не знаете с чего начать?

Не так давно вышла серия занимательных постов от seal9055, которые введут вас в курс дела! Начинать рекомендую с https://seal9055.com/blog/?p=browser_architecture&d=browser