연구원, Arc 브라우저의 '재난적' 보안 결함 공개

보안 연구자 xyz3va는 Arc 브라우저에서 심각한 취약점을 발견했습니다. 이 취약점은 공격자가 사용자 ID만으로 다른 사용자의 브라우저 세션에 임의의 코드를 삽입할 수 있었습니다. CVE-2024-45489로 알려진 이 취약점은 The Browser Company가 사용자 정보를 저장하는 데 사용하는 Firebase 구현의 잘못된 구성에서 발생했습니다. 이 취약점은 Arc Boosts 기능에 의존했습니다. 이 기능은 사용자가 웹 사이트를 맞춤화하는 데 사용되는 사용자 지정 CSS 및 JavaScript입니다. The Browser Company의 잘못 구성된 Firebase ACL은 사용자가 Boost의 creatorID를 변경할 수 있도록 허용했습니다. 이렇게 하면 공격자는 임의의 코드가 포함된 Boost를 생성하고, 피해자의 Arc 계정에 추가할 수 있었습니다. The Browser Company는 버그 보고에 신속하게 대응하여 8월 26일에 취약점을 패치하고 공공적으로 공개했습니다. 회사의 로그에 따르면 이 결함으로 인해 사용자가 영향을 받지 않았다고 합니다. 회사는 다음과 같은 보안 개선 사항을 구현하고 있습니다. 버그 번티 프로그램을 설정하고, Firebase에서 이동하고, 추가 보안 직원을 고용하는 것입니다. 또한, 회사는 향후 유사한 취약점을 방지하기 위해 동기화된 Boosts에서 사용자 지정 JavaScript를 비활성화할 계획입니다. The Browser Company의 신속한 대응과 적극적인 조치는 이러한 취약점이 다시 발생하지 않도록 목표로 합니다.