Websites pueden robar datos mediante las APIs de tus extensiones del navegador!

Un investigador francés descubrió que casi 200 extensiones de navegador (Chrome, Firefox y Opera) son vulnerables a ataques desde sitios maliciosos. Las extensiones del navegador son programas de terceros, estrechamente integrados a los navegadores, donde se ejecutan con privilegios elevados, con el fin de proporcionar a los usuarios funcionalidades adicionales. Pueden leer y escribir datos […]

Un investigador francés descubrió que casi 200 extensiones de navegador (Chrome, Firefox y Opera) son vulnerables a ataques desde sitios maliciosos.

Las extensiones del navegador son programas de terceros, estrechamente integrados a los navegadores, donde se ejecutan con privilegios elevados, con el fin de proporcionar a los usuarios funcionalidades adicionales. Pueden leer y escribir datos del usuario en cualquier aplicación web y tienen acceso a un almacenamiento permanente, siempre que estén instaladas en el navegador.

Por razones de seguridad, las extensiones de navegador y aplicaciones web se ejecutan en contextos separados. Sin embargo, en todos los grandes navegadores, extensiones y aplicaciones web pueden interactuar intercambiando mensajes. A través de estos canales de comunicación, una aplicación web puede explotar capacidades privilegiadas de la extensión y de este modo acceder y conseguir información del usuario.

Dolière Francis Somé, investigador francés, descubrió los procedimientos mediante los cuales sitios web maliciosos podrían acceder a datos sensibles del usuario, como el historial de navegación, los bookmarks, otras extensiones instaladas y a tus cookies. Las cookies son fundamentales para “secuestrar” tu sesión en servicios que requieran de autenticación, como cuentas de correo o de redes sociales, por lo que este es un problema serio. Además, pueden gatillar la descarga de archivos y guardarlos en el dispositivo del usuario, lo que podría utilizarse para exfiltrar y obtener información en un ataque más avanzado.

Todo esto suena a ataques hipotéticos, pero fueron demostrados por el investigador, quien analizó más de 78.000 extensiones en total, de las cuales 197 exponían interfaces de comunicación internas de la API de la extensión a las aplicaciones web, permitiendo a sitios web maliciosos una comunicación directa a los datos almacenados en el navegador. En general, estos datos deberían ser sólo accesibles para el navegador.

De las extensiones halladas vulnerables, un 55% tenían menos de 1000 descargas, pero un 15% tenía más de 10.000.

Somé reportó el problema a Firefox, Opera y Chrome. Los dos primeros removieron todas las extensiones (todas menos 2 de Opera) y aún se conversa con Chrome para determinar qué acciones seguir.