Zen — браузер на базе Firefox. До версии 1.19.12b браузер ZEN неправильно усекал длинные имена хостов в адресной строке и отображал только контролируемый злоумышленником префикс поддомена, скрывая фактический регистрируемый домен (eTLD+1). В результате злоумышленник может создать очень длинные вредоносные поддомены, которые визуально имитируют проверенные бренды, а браузер будет отображать только поддельный префикс, вводя пользователей в заблуждение относительно фактического происхождения сайта.
Это напрямую ставит под угрозу строку URL-адреса как индикатор безопасности и создает вектор фишинговой атаки или атаки на цепочку поставок. Эта уязвимость исправлена в версии 1.19.12b.
Показать оригинальное описание (EN)
Zen is a firefox-based browser. Prior to 1.19.12b, the ZEN Browser incorrectly truncates long hostnames in the address bar and shows only the attacker-controlled prefix of the subdomain, hiding the actual registrable domain (eTLD+1). As a result, an attacker can craft extremely long malicious subdomains that visually imitate trusted brands, and the browser will display only the spoofed prefix, misleading users about the actual origin of the site. This directly compromises the URL bar as a security indicator and creates a phishing/supply-chain attack vector. This vulnerability is fixed in 1.19.12b.
Характеристики атаки
Последствия
Строка CVSS v3.1