La semana pasada, Microsoft lanzó actualizaciones para el navegador Edge con correcciones para dos problemas de seguridad, uno de los cuales se refiere a una vulnerabilidad de omisión de seguridad que podría explotarse para inyectar y ejecutar código arbitrario en el contexto de cualquier sitio web.

Rastreado como CVE-2021-34506 (puntuación CVSS: 5.4), la debilidad se deriva de un problema de secuencias de comandos entre sitios universales (UXSS) que se activa al traducir automáticamente páginas web utilizando la función integrada del navegador a través de Microsoft Translator.

Acreditados por descubrir y reportar CVE-2021-34506 están Ignacio Laurence, así como Vansh Devgan y Shivam Kumar Singh con CyberXplore Private Limited.

«A diferencia de los ataques XSS comunes, UXSS es un tipo de ataque que explota las vulnerabilidades del lado del cliente en el navegador o las extensiones del navegador para generar una condición XSS y ejecutar código malicioso», dijeron los investigadores de CyberXplore en un artículo compartido con The Noticias de piratas informáticos.

«Cuando se encuentran y explotan tales vulnerabilidades, el comportamiento del navegador se ve afectado y sus características de seguridad pueden ser ignoradas o deshabilitadas».

Específicamente, los investigadores encontraron que la función de traducción tenía un código vulnerable que no pudo desinfectar la entrada, lo que permitió a un atacante insertar código JavaScript malicioso en cualquier lugar de la página web que luego se ejecuta cuando el usuario hace clic en el mensaje en la barra de direcciones para traducir. la página.

Como un exploit de prueba de concepto (PoC), los investigadores demostraron que era posible desencadenar el ataque simplemente agregando un comentario a un video de YouTube, que está escrito en un idioma que no es inglés, junto con una carga útil XSS.

De manera similar, se descubrió que una solicitud de amistad de un perfil de Facebook que contenía contenido en otro idioma y la carga útil XSS ejecutaba el código tan pronto como el destinatario de la solicitud revisaba el perfil del usuario.

Luego de la divulgación responsable el 3 de junio, Microsoft solucionó el problema el 24 de junio, además de otorgar a los investigadores $ 20,000 como parte de su programa de recompensas por errores.

La última actualización (versión 91.0.864.59) del navegador basado en Chromium se puede descargar visitando Configuración y más > Acerca de Microsoft Edge (edge: // configuración / ayuda).