Vážná chyba v prohlížeči Edge: Útočníci mohou zobrazit falešné upozornění

Heh, zive.sk má hlavičku X-XSS-Protection a zive.cz ne. Náhoda?

Možná české živě je zapojené do jiných reklamních systémů, které jim bez toho nefungovali.

No přece chybou v Edge, o které je ten článek, Plho!

Článek je o javascriptu který zobrazí dané okno, ale ne o tom jak by měl být spuštěn. A pokud je web správně zabezpečen proti XSS, tak nad ním cizí script jen tak nespustíš. A pokud zabezpečen není, není to problém Edge a navic, pomocí CSS se kradou celé session, což je větší problém než nějaká hláška která se zobrazí právě pokud má prohlížeč podezření na XSS. Takže vse vlastně vede jen k tomu, že i zabezpecený web můžu označit za napadený. Ale to by pro uživatele měl být jedině signál z něj ihned odejít.

Pardon za překlep. Ne pomocí CSS ale pochopitelně XSS se kradou session...

Aha, už to chápu. Jde zkrátka jen o zobrazení nativní šablony. Takže prostě úplná blbost a ne bezpečnostní chyba. Úplně stejně můžu tu stránku jen zkopírovat a podvrhnout text do url taky není problém.
Takže nakonec jde o úplně obyčejný phishing, a nejdřív musim blbce přimět jít na podezřelou URL. Tedy žádné nové riziko, které by s jiným prohlížečem nešlo.

Taky mi to tak přijde.

Princip chyby je v tom, že takhle jdou ovlivňovat i jiné stránky.

Ne, nejdou. Po projití zdroje je zřejmé, že to jen vyplní šablonu PhishSiteEdge.htm že složky ErrorPages na disku.
Takže ekvivalentu jde dosáhnout v libovolném prohlížeči, byť to budeš kódovat o minutu dyl a možná bude třeba originální chybu zkopírovat.

Tak mi schválně, jak jde třeba v Chrome dosáhnout toho, že mám zobrazenou tuhle chybu a přitom v adresním řádku mám adresu jiného webu?

http://stackoverflow.com/questions/824349/modify-t... ...

Oprava: tohle je asi případ pouze stejné domény.

No právě. Ukázat svůj obsah tak, aby byla v adresním řádku jiná doména normálně nejde a je to důležité bezpečnostní opatření - doteď platilo, že jaká doména v řádku je, tu uživatel vidí. Tohle lze s využitím chyby v Edge porušit. Jediné štěstí je, že i pokud dám do URL https, tak se mi neukáže se zeleným zámečkem ale jako kdyby to bylo http.

Přijde mi to jako BS mířený zase na prohlížeš od MS... Ne že bych ho aktivně používal (na tabletu ano, protože je prostě úspornější - akorát od nových verzí Chrome, to možná nemusí být pravda), ale tohle nadávání na MS za každou cenu, už je trochu přes čáru.