Microsoft ha corregido un error de suplantación en la barra de direcciones en su navegador web Edge, mientras que Apple todavía tiene que implementar el parche de su navegador web iOS después de recibir un informe sobre el problema el 2 de junio. El investigador Rafay Baloch reveló el error de suplantación de domicilio en su sitio web el 10 de septiembre, después de enviar un recordatorio de fecha límite de 90 días el 11 de agosto. Microsoft respondió rápidamente con una corrección de errores el 14 de agosto, pero Apple no ha parcheado todavía la vulnerabilidad disponible en el navegador web Safari preinstalado en iOS 11.3.1. Esto podría deberse al hecho de que la compañía de Cupertino incluirá la solución en la próxima versión de iOS, como suele ser habitual.
Baloch detalló los pasos necesarios para reproducir el error en su descripción, primero vinculando un archivo HTML de prueba de concepto que apunta al navegador vulnerable a https://www.gmail.com:8080/, aunque el contenido está alojado en un dominio no relacionado. La prueba de concepto funciona porque el navegador vulnerable permitirá que una secuencia de comandos basada en JavaScript creada con fines malintencionados actualice los contenidos de la barra de direcciones antes y mientras la página web aún se está cargando.
Los errores de suplantación de barra de direcciones pueden ser muy eficaces
El atacante puede agregar un retraso utilizando la función setInterval JavaScript y combinarlo con una condición de carrera activada al solicitar datos de un puerto inexistente para activar efectivamente el evento de suplantación de la barra de direcciones. El investigador de seguridad dice en su publicación que el PoC “hace que el navegador preserve la barra de direcciones y cargue el contenido de la página falsificada. Sin embargo, el navegador eventualmente cargará el recurso, sin embargo, el retraso inducido con la función setInterval sería suficiente para desencadenar la suplantación de la barra de direcciones“.
Aunque no es muy impresionante desde un punto de vista técnico, los errores de simulación de la barra de direcciones pueden conducir a la pérdida de información altamente confidencial si un objetivo visita una página web creada de forma malintencionada que recopila y exfiltra los datos al atacante. Esto sucede porque las barras de direcciones falsificadas son casi imposibles de diferenciar de las reales, especialmente en navegadores web móviles como Safari de Apple para iOS.
