7 січня 2025 року вийшов Firefox 134, у якому виправлено вразливість у WebChannel API. Раніше цей інтерфейс не перевіряв джерело повідомлень, що могло призвести до атак із підвищенням привілеїв.
Технічна проблема полягала в тому, що API WebChannel довіряв параметру principal, переданому в самому повідомленні, замість того, щоб самостійно верифікувати principal відправника. Це дозволяло зловмисникам маніпулювати контекстом безпеки повідомлень. Після оновлення 7 січня 2025 року механізм перевірки було змінено: система тепер ігнорує переданий principal і виконує сувору перевірку джерела відправника.
Рекомендації:
- Переконайтеся, що всі робочі станції оновлені до версії Firefox 134 або новішої.
- Якщо ви розробляєте розширення або внутрішні веб-додатки, що взаємодіють з WebChannel, перевірте код на наявність залежностей від переданих параметрів principal та оновіть логіку обробки повідомлень відповідно до нових стандартів безпеки.
Захист внутрішніх API браузера від маніпуляцій через WebChannel
Для адміністраторів та розробників, що підтримують внутрішні корпоративні веб-інструменти, ця вразливість створює ризик несанкціонованого підвищення привілеїв. Некоректна обробка WebChannel дозволяла маніпулювати контекстом безпеки, що могло призвести до компрометації робочих станцій через браузер. Своєчасне оновлення до версії 134 є критичним для захисту внутрішніх API від зловмисних маніпуляцій.
Практичний крок: Оновіть браузери на всіх робочих станціях до актуальної версії. Зверніться до Softline для проведення аудиту безпеки ваших внутрішніх веб-додатків та розширень, щоб переконатися, що ваша логіка обробки повідомлень відповідає новим стандартам безпеки.
Використані джерела
- mozilla.org (mozilla.org)