Benvenuto su Hackerpunk — Hacking News Live 24h, la fonte in tempo reale per tutte le news di cybersecurity, cybercrime e Deep AI. Aggiorniamo costantemente le nostre notizie 24 ore su 24 con report tecnici, indagini digitali e analisi sugli attacchi più recenti.
Il ricercatore di sicurezza "xyz3va" su X ha scoperto una vulnerabilità significativa nel browser Arc che avrebbe potuto esporre gli utenti ad attacchi dannosi. La falla registrata sul Mitre con CVE-2024-45489, ha consentito agli aggressori di eseguire codice arbitrario sui browser di altri utenti sfruttando la funzionalità Boost di Arc, una suite di strumenti all'interno del noto browser che consente agli utenti di personalizzare l'aspetto dei siti web.
Dettagli sulla vulnerabilità, patch e miglioramenti della sicurezza Secondo un bollettino di sicurezza rilasciato da Arc Browser, l'exploit è stato collegato a una configurazione errata nell'uso di Firebase da parte di Arc, un servizio backend supportato da Google utilizzato per archiviare i dati degli utenti, inclusi i Boost. Il ricercatore xyz3va ha scoperto la vulnerabilità mentre esplorava la funzionalità Boost di Arc il 25 agosto.
Manipolando gli ID utente collegati a Boost, xyz3va ha dimostrato che un aggressore potrebbe iniettare codice dannoso nel browser di una vittima senza la conoscenza o il consenso dell'utente. Ha ottenuto gli ID utente tramite tecniche di web scraping e ha dimostrato che un codice arbitrario potrebbe essere eseguito ogni volta che la vittima visita un sito Web specifico manifestando l'attacco xxs stored (cross site scripting persistente) uno tra i più insidiosi.
Ciò ha permesso ai malintenzionati il controllo sulla sessione del browser della vittima. Tuttavia, la vulnerabilità è stata corretta il 26 agosto e un'indagine interna ha rivelato che nessun utente era stato colpito. Arc ha pagato al ricercatore una ricompensa di 2. 000
