Исследователь безопасности из Imperva Рон Масас выложил в открытый доступ данные о баге в браузерах, основанных на Chromium, в том числе Google Chrome, с помощью которого хакеры могут выкрасть любые данные.

Проблема заключалась в недостаточной проверке браузерами символических ссылок, из-за чего они ведут на локацию, “которая изначально должна быть недоступна». Так проблему описал Масас.

Уязвимость называется SymStealer и возникает при использовании технологии Drag-and-drop — когда целевой файл внутрь окна браузера перетаскивается мышью вместо того, чтобы нажать на поле и потом Проводником найти и кликнуть в этот файл.

То есть при необходимости злоумышленник может заманить пользователя на вредоносный сайт и убедить его загрузить ZIP-архив с символической ссылкой на целевой файл или папку. Этот механизм позволяет украсть данные. А если это файл с учётными данными или информацией о криптокошельке, то последствия очевидны.

Источник: Ferra