Internet Explorer'da ciddi bir açık bulundu
Bir güvenlik araştırmacısı, tüm Internet Explorer‘larda bulunan ve saldırganın Gmail, Facebook veya Twitter gibi siterdeki hesabınıza girmesini sağlayan bir açığı keşfetti.
Internet Explorer’daki bir sıfırıncı gün açığından faydalanarak yapılan saldırıda, bir sürükle bırak yöntemini kullandığınızda ilgili sitenin çerezlerini saldırganın ellerine teslim edebiliyorsunuz. İtalyan güvenlik araştırmacısı Rosario Valotta, bu yöntemi anlatırken sitelerin sadece Gmail, Facebook ve Twitter’la sınırlı olmadığını, tüm sitelerin çerezlerinin bu yolla elde edilebileceğini söyledi.
Güvenlik açığının bulunduğu yer ise IE güvenlik bölgesi mekanizması. Bu mekanizmanın bir amacı, ‘güvenilmez’ internet bölgesi ile güvenilir yerel bölgeyi birbirine karıştırmamak. Ancak Valotta’nın bulgusuna göre çerezler, güvenlik mekanizmasının dışında kalıyor ve iFrame‘lere yüklenebiliyor. Ardından çerezler, görünmez bir metinle işaretleniyor ve HTML5 sürükle bırak yöntemiyle ana tarayıcı penceresine sürükleniyor. Bu ise ‘çapraz bölge etkileşimi’ politikasını ihlal ederek internet sayfasının yerel dosyaya erişmesine izin vermektedir.
