Lỗ hổng trên Opera GX cho phép website độc hại tự động cài đặt Mod để đánh cắp dữ liệu

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trên Opera GX, phiên bản trình duyệt dành riêng cho game thủ của Opera. Lỗ hổng này cho phép các trang web độc hại âm thầm cài đặt các tiện ích mở rộng (Mod) và sử dụng chúng để thu thập dữ liệu từ các trang web mà người dùng truy cập.

Cơ chế tấn công nguy hiểm

Các bản Mod trong Opera GX thường được sử dụng để tùy chỉnh giao diện, âm thanh hoặc hình nền. Tuy nhiên, quy trình cài đặt các tệp .crx này lại tồn tại điểm yếu: trình duyệt tự động tải xuống và kích hoạt Mod mà không yêu cầu người dùng xác nhận. Kẻ tấn công có thể lợi dụng điều này bằng cách nhúng một iframe ẩn trỏ đến tệp .crx độc hại.

Điểm đáng chú ý là các bản Mod này có thể thực thi CSS trên mọi trang web mà người dùng truy cập. Bằng cách sử dụng kỹ thuật XS-Leak (Cross-Site Leak), kẻ tấn công có thể chèn hàng chục nghìn quy tắc CSS để “đoán” các giá trị dữ liệu nhạy cảm (như địa chỉ email hoặc tên người dùng) thông qua các thuộc tính HTML, sau đó gửi dữ liệu này về máy chủ của chúng.

Trong một thử nghiệm thực tế (Proof of Concept), các nhà nghiên cứu đã thành công trong việc khôi phục toàn bộ địa chỉ Gmail của người dùng chỉ sau một lần truy cập vào trang web độc hại, mà không cần bất kỳ thao tác nhấp chuột nào từ nạn nhân.

Phản hồi từ Opera

Opera đã nhanh chóng phát hành bản vá cho lỗ hổng này trong phiên bản 130.0.5847.89. Người dùng được khuyến cáo kiểm tra phiên bản trình duyệt hiện tại thông qua đường dẫn opera://about để đảm bảo đã được bảo vệ. Mặc dù không có mã CVE cụ thể cho lỗ hổng này, đội ngũ bảo mật của Opera đã đánh giá đây là vấn đề mức độ nghiêm trọng cao nhất (P1) và trao thưởng tối đa 5.000 USD cho các nhà nghiên cứu.

Đại diện Opera cho biết họ tự tin rằng lỗ hổng này chưa bị khai thác rộng rãi trong thực tế. Tuy nhiên, sự việc một lần nữa gióng lên hồi chuông cảnh báo về việc các tính năng tùy biến trình duyệt nếu không được kiểm soát chặt chẽ có thể trở thành công cụ đắc lực cho các cuộc tấn công mạng tinh vi.

Nguồn tham khảo: The Hacker News