Falha de segurança com 18 anos foi finalmente corrigida

Uma falha que tinha sido descoberta faz mais de 18 anos foi recentemente corrigida, garantindo uma proteção adicional para navegadores como o Google Chrome, Firefox, Safari e outros.

A falha era conhecida como “0.0.0.0 day”, e embora fosse grave, apenas afetava sistemas Linux e macOS. Se explorada, os atacantes poderiam aproveitar a mesma para alterar algumas configurações do navegador, obter acesso a dados privados ou, em alguns casos, enviar comandos remotos para os sistemas.

A falha foi reportada inicialmente em 2008, mas manteve-se ativa e por corrigir durante mais de 18 anos, embora praticamente todos os navegadores a confirmaram como sendo uma falha válida. Na altura, a falha foi reportada como estando a ser ativamente usada para ataques, embora fossem limitados.

Esta falha permitia que os navegadores, através de sites públicos na internet, pudessem enviar comandos para redes internas via o IP wildcard 0.0.0.0. Normalmente, este IP corresponde a todos os endereços locais de uma rede, e como tal, o ataque voltava-se para tirar proveito do acesso dos navegadores ao mesmo para lançar ataques locais.

Dependendo do sistema, os pedidos enviados para 0.0.0.0 poderiam ter diferentes efeitos na rede, o que poderia também permitir aos atacantes enviarem comandos para serviços locais, e realizarem assim as mais variadas atividades.

Curiosamente, embora a falha fosse conhecida faz 18 anos, apenas recentemente se verificou um elevado número de websites pela internet a começarem a realizar pedidos ao IP 0.0.0.0, e consequentemente, a tentarem explorar esta falha. Isso pode ter sido um dos motivos para ter levado os principais navegadores no mercado a lançarem a correção para o mesmo.

Google Chrome, Firefox e Safari começaram a implementar medidas para bloquear pedidos feitos ao IP 0.0.0.0, sendo que estas devem começar a ser implementadas em futuras versões dos navegadores.