1 серпня 2023 року було оголошено про виправлення вразливості у Firefox 116, пов'язаної з некоректним відстеженням крос-доменного доступу в Offscreen Canvas. Це порушення політики одного джерела дозволяло отримувати доступ до даних зображень з інших сайтів.
Вразливість, зафіксована як CVE-2023-4045, була пов'язана з некоректною обробкою походження даних (origin) у Offscreen Canvas. Помилка дозволяла зловмисникам зчитувати вміст зображень, завантажених з інших сайтів, що створювало ризик витоку даних користувачів. Оновлення впроваджує суворіший контроль за походженням даних, гарантуючи, що вміст Canvas залишається ізольованим відповідно до стандартів безпеки браузера.
Рекомендації:
- Оновіть браузери Firefox до версії 116 або новішої для всіх користувачів у вашій організації.
- Перевірте вебдодатки, які активно використовують Offscreen Canvas, на предмет коректної роботи після застосування патча.
- Переконайтеся, що заголовки CORS (Cross-Origin Resource Sharing) на ваших серверах налаштовані правильно, оскільки це є додатковим рівнем захисту при роботі з крос-доменними зображеннями.
Захист даних у механізмі Offscreen Canvas
Вразливість у механізмі Offscreen Canvas дозволяє зловмисникам отримувати доступ до конфіденційних зображень, що обробляються у вебзастосунках. Це створює ризики витоку даних користувачів та порушення політик безпеки браузера. Для розробників та власників бізнесу це означає необхідність оновлення клієнтського програмного забезпечення та перевірки налаштувань CORS для захисту інтелектуальної власності та приватності.
Практичний крок: Оновіть браузери Firefox у вашій організації. Замовте у Softline аудит безпеки ваших вебзастосунків, щоб переконатися, що налаштування CORS та обробка графічних даних відповідають сучасним стандартам захисту.
Використані джерела
- mozilla.org (mozilla.org)