یکی از متخصصان حوزه‌ی امنیت سایبری مشکلی بسیار جدی در مرورگر Arc پیدا کرده است که می‌تواند به سوءاستفاده‌های امنیتی منجر شود.
به‌گزارش تکناک، یکی از پژوهشگران امنیت آسیب‌پذیری بحرانی را در مرورگر Arc کشف کرده که به اجرای کد دلخواه در بستر جلسه‌های مرورگر کاربران منجر می‌شد. این آسیب‌پذیری امکان دسترسی مهاجمان به اطلاعات حساس کاربران را فراهم می‌آورد. این نقص امنیتی ۲۶ آگوست برطرف و امروز به‌صورت عمومی اعلام شد. طبق گزارش‌ها، تاکنون هیچ نمونه‌ای از سوءاستفاده از این آسیب‌پذیری مشاهده نشده است.
ورج می‌نویسد که آسیب‌پذیری امنیتی مذکور (CVE-2024-45489) از اشتباهی در تنظیمات پایگاه داده Firebase شرکت The Browser Company سوءاستفاده کرد. این شرکت از Firebase برای ذخیره‌ی اطلاعات کاربران، ازجمله تنظیمات شخصی‌سازی وب‌سایت‌ها (Arc Boosts) استفاده می‌کرد. این اشتباه به مهاجمان اجازه داد تا به اطلاعات کاربران دسترسی پیدا کنند.
The Browser Company در بیانیه‌ی خود می‌نویسد:
یکی از ویژگی‌های جذاب Arc، امکان شخصی‌سازی وب‌سایت‌ها با استفاده از CSS و جاوااسکریپت است. با‌این‌حال، به‌دلیل نگرانی‌های امنیتی ناشی از اجرای کدهای جاوااسکریپت دلخواه، تصمیم گرفتیم این قابلیت را برای اشتراک‌گذاری با دیگران محدود کنیم. بااین‌همه، همچنان می‌توانید تنظیمات شخصی خود را در دستگاه‌های مختلف ذخیره کنید.
برای ذخیره‌ی این تنظیمات، از پایگاه داده Firebase استفاده می‌کنیم. متأسفانه به‌دلیل مشکل فنی در تنظیمات امنیتی Firebase، هر کاربری می‌توانست تنظیمات شخصی دیگران را تغییر دهد. این مشکل باعث می‌شد که کدهای جاوااسکریپت دلخواه به‌طور ناخواسته روی وب‌سایت‌های مختلف اجرا شود.
همچنین، xyz3va درباره‌ی این موضوع می‌گوید:
تقویت‌کننده‌های Arc می‌توانند حاوی جاوااسکریپت دلخواه باشند. تقویت‌کننده‌های Arc در Firebase ذخیره می‌شوند. مرورگر Arc ازطریق فیلد creatorID مشخص می‌کند که کدام تقویت‌کننده‌ها را باید استفاده کند. می‌توانیم به‌دلخواه فیلد creatorID را به هر شناسه‌ی کاربری تغییر دهیم.
شناسه‌ی کاربری (creatorID) در Arc به روش‌های مختلفی استخراج‌شدنی بود؛ ازجمله لینک‌های ارجاع و اشتراک‌گذاری تنظیمات شخصی. مهاجم با استفاده از این شناسه می‌توانست به‌طور خودکار تنظیمات مخربی را به حساب کاربری قربانی اضافه کند.
تیم توسعه‌ی Arc به‌سرعت به این آسیب‌پذیری واکنش نشان داد و آن را برطرف کرد. همچنین، شرکت برنامه‌هایی برای بهبود کلی امنیت نرم‌افزار، ازجمله راه‌اندازی برنامه‌ی پاداش‌دهی به کشف آسیب‌پذیری‌ها و مهاجرت از پایگاه داده Firebase و غیرفعال‌کردن اجرای کدهای جاوااسکریپت دلخواه در تنظیمات همگام‌سازی‌شده، اعلام کرده است.
