當你正在享受微軟Edge瀏覽器內置的網頁翻譯功能時，可能觸發(fā)惡意代碼攻擊。
微軟上周推出了Edge瀏覽器更新，修復了兩個安全問題。其中一個就是利用網頁翻譯功能發(fā)起攻擊，它可以在網站代碼中注入和執(zhí)行任意代碼。
該漏洞被追蹤為CVE-2021-34506（CVSS評分：5.4），源于一個通用的跨網站腳本（UXSS）問題，該問題會在使用Edge瀏覽器內置的自動翻譯網頁功能時被觸發(fā)。
漏洞的發(fā)現者是Ignacio Laurence以及CyberXplore公司的Vansh Devgan和Shivam Kumar Singh。
“與常見的XSS攻擊不同，UXSS是一種利用瀏覽器或瀏覽器擴展中的客戶端漏洞以產生XSS條件，并執(zhí)行惡意代碼攻擊，”CyberXplore研究人員表示。“當該漏洞被利用時，會繞過或禁用瀏覽器的安全功能。”
研究人員發(fā)現，翻譯功能中的一段代碼沒有清潔輸入，導致攻擊者可以在網頁任意地方插入惡意JavaScript，一旦用戶點擊地址欄的翻譯提示按鈕，就會執(zhí)行該代碼。
作為一個概念驗證（PoC）漏洞，研究人員證明，只需在YouTube視頻中添加一個非英文編寫的注解和一個XSS有效載荷，就可以觸發(fā)攻擊。
同樣，該漏洞還可以被應用在Facebook場景中，它可以藏匿在Facebook用戶發(fā)送的好友請求中，包含非英文編寫的注解和XSS有效載荷，一旦請求的接收者查看了該用戶的個人資料，就會執(zhí)行代碼。
在6月3日披露之后，微軟在6月24日（版本91.0.864.59）修復了該問題。此外，作為其漏洞賞金計劃的一部分，微軟還向研究人員獎勵了2萬美元。
本站內容除特別聲明的原創(chuàng)文章之外，轉載內容只為傳遞更多信息，并不代表本網站贊同其觀點。轉載的所有的文章、圖片、音/視頻文件等資料的版權歸版權所有權人所有。本站采用的非本站原創(chuàng)文章及圖片等內容無法一一聯(lián)系確認版權者。如涉及作品內容、版權和其它問題，請及時通過電子郵件或電話通知我們，以便迅速采取適當措施，避免給雙方造成不必要的經濟損失。聯(lián)系電話：010-82306118；郵箱：aet@chinaaet.com。