Dalam laporan yang baru-baru ini diterbitkan oleh perusahaan keamanan siber Rapid7, perusahaan tersebut mengatakan bekerja dengan peneliti keamanan asal Pakistan, Rafay Baloch dalam pengungkapan sepuluh kerentanan address bar spoofing baru di 7 aplikasi browser seluler.
Browser yang terkena dampak oleh kerentanan tersebut termasuk dari nama-nama besar seperti Apple Safari, Opera Touch, dan Opera Mini, juga aplikasi khusus seperti Bolt, RITS, UC Browser, dan Yandex Browser.
Masalah address bar spoofing tersebut ditemukan pada awal tahun ini dan dilaporkan kepada pembuat browser pada bulan Agustus 2020. Vendor besar segera menyelesaikan masalah keamanan tersebut, namun vendor yang lebih kecil bahkan tidak menjawab para peneliti, membuat browser mereka rentan terhadap serangan.
“Eksploitasi semuanya bermuara pada ‘JavaScript shenanigans’,” kata Direktur Riset Rapid7, Tod Beardsley.
Eksekutif Rapid7 mengatakan bahwa dengan mengotak-atik waktu antara saat halaman dimuat dan saat browser mendapat kesempatan untuk me-refresh URL address bar, situs berbahaya dapat memaksa browser untuk menampilkan alamat yang salah.
Baca Juga: “Bug Firefox Ini Memungkinkan Untuk Membajak Browser Seluler Melalui WiFi“
Penjelasan lebih rinci tentang “shenanigans” yang lebih teknis dari setiap kerentanan tersedia DI SINI, seperti yang dijelaskan oleh Baloch.
Untuk mengeksploitasi salah satu kerentanan ini membutuhkan (1) browser yang rentan dan (2) penyerang yang mampu memikat pengguna agar mengakses situs berbahaya.
Beardsley percaya bahwa serangan seperti ini sangat mudah diluncurkan dan merekomendasikan agar pengguna memperbarui browser mereka sesegera mungkin atau pindah ke browser yang tidak terpengaruh oleh kerentanan ini.
