Beveiligingslek in Opera My Flow maakte remote code execution mogelijk

[Captain Kirk]

Een kritieke kwetsbaarheid in een onderdeel van Opera maakte het mogelijk om systemen van gebruikers over te nemen. De kwetsbaarheid was aanwezig in My Flow, een onderdeel van de browser dat gebruikers via een "shared space" data tussen hun smartphone en computer laat uitwisselen. Het kan dan bijvoorbeeld gaan om links, afbeeldingen en video's die vervolgens vanaf zowel telefoon als computer voor de gebruiker toegankelijk zijn.

Een beveiligingsonderzoeker ontdekte dat het domein van My Flow, web.flow.opera.com, communiceert met een verborgen extensie binnen de browser. Op web.flow.opera.com was een cross-site scripting (XSS)-kwetsbaarheid aanwezig. Door een afbeelding op een malafide website te slepen was een redirect naar web.flow.opera.com mogelijk en kon er misbruik van het XSS-lek worden gemaakt.

De onderzoeker zag dat de verborgen browser-extensie waarmee My Flow communiceert verschillende functies kan uitvoeren, waaronder het versturen en openen van bestanden. De send_file-functie verstuurt een bestand naar My Flow en bewaart het in de downloadmap van de gebruiker. De open_file-functie wordt gebruikt voor het openen van afbeeldingen, maar blijkt elk soort bestand te kunnen openen, niet alleen afbeeldingen.

Door de twee functies te combineren is het mogelijk om een bestand op de computer van een gebruiker te plaatsen en daar te openen. Voorwaarde is wel dat de gebruiker eerst op een malafide website een afbeelding versleept. De redirect naar de My Flow-site maakt het vervolgens mogelijk om de twee genoemde extensie-functies binnen de browser van de gebruiker aan te roepen en zo willekeurige code op zijn systeem uit te voeren. De onderzoeker waarschuwde Opera dat een beveiligingsupdate uitrolde. Voor zijn bugmelding ontving de onderzoeker een beloning van 8.000 dollar.

 

 

bron: https://www.security.nl