Dos investigadores de la Universidad de Deusto en España y un investigador de Eurecom, un centro de investigación francés, han descubierto dos fallas que afectan a los sistemas de extensión incorporados en los navegadores actuales, como Firefox, Safari y todas las derivaciones relacionadas con Chromium, como Chrome, Opera y otros.

El paper se titula "Extension Breakdown: Security Analysis of Browsers Extension Resources Control Policies". 
Los errores pueden ser explotados por un atacante para exponer una lista de las extensiones instaladas del usuario con una precisión del 100%. Esta información se puede utilizar para crear "huellas dactilares de los usuarios" en función de las extensiones utilizadas, para desenmascarar usuarios anónimos que se ocultan detrás del tráfico de VPN o Tor, o para crear perfiles de publicidad.

La primera falla afecta a la extensa API de WebExtensions

La primera falla afecta al sistema de extensión utilizado con navegadores basados ​​en Chromium, como Google Chrome, Opera, Yandex Browser y Comodo Dragon.

El mismo sistema de extensión, la API de WebExtensions, también es utilizado por versiones más recientes de Firefox, Edge, Vivaldi y Brave. Los investigadores no probaron estos navegadores, pero dijeron que creen que también están afectados.

La API de WebExtensions protege los navegadores contra los atacantes que intentan listar las extensiones instaladas utilizando la configuración de control de acceso del archivo manifest.json incluido en cada extensión. Este archivo bloquea sitios web para comprobar cualquiera de los archivos y recursos internos de la extensión, a menos que el archivo esté configurado específicamente para permitirlo.

El equipo de investigación dice que descubrió un "ataque de canal lateral de tiempo" en la validación de las configuraciones de control de acceso. El navegador que usa la API de Chromium WebExtensions tarda un poco más en responder a una solicitud de un sitio web para los archivos almacenados localmente para una extensión falsa en comparación con una extensión válida pero con la ruta incorrecta. Esto permite deducir qué extensiones tiene instaladas el usuario, bombardeando el objetivo con una serie de solicitudes duales y registrando el tiempo que tarda un navegador en responder.

Esto funciona para Chrome, Opera, Yandex Browser y Comodo Dragon.

Firefox también es vulnerable a través de su antigua API de complementos, basada en XML. Firefox genera errores especiales al solicitar archivos de extensiones falsas, por lo que el ataque es aún más preciso en Firefox. Los investigadores no probaron la implementación más reciente, basada en WebExtensions API, ya que todavía está en desarrollo.

"Revelamos responsablemente todos nuestros hallazgos y ahora estamos discutiendo con los desarrolladores de varios navegadores y extensiones para proponer las contramedidas correctas para mitigar estos ataques en versiones actuales y futuras", dijo el equipo de investigación.

Los investigadores también detallaron métodos para usar estos dos defectos con fines de análisis publicitario, para aplicaciones malintencionadas e ingeniería social.

Fuente: BleepingComputer