Recientemente se descubrió una vulnerabilidad crítica de Universal Cross-Site Scripting (UXSS) en el navegador Android de DuckDuckGo. Este fallo permitía que iframes no confiables de origen cruzado ejecutaran JavaScript arbitrario en el origen de nivel superior, con una puntuación CVSS de gravedad alta de 8.6. La vulnerabilidad fue detallada originalmente en una publicación de Medium por el investigador de seguridad Dhiraj Mishra.

Recientemente se descubrió una vulnerabilidad crítica de Universal Cross-Site Scripting (UXSS) en el navegador Android de DuckDuckGo.

Este fallo permitía que iframes no confiables de origen cruzado ejecutaran JavaScript arbitrario en el origen de nivel superior, con una puntuación CVSS de gravedad alta de 8.6.

La vulnerabilidad fue detallada originalmente en una publicación de Medium por el investigador de seguridad Dhiraj Mishra.

El problema surge del puente JavaScript AutoconsentAndroid, un componente nativo inyectado en las páginas web cargadas por la aplicación Android de DuckDuckGo (com.duckduckgo.mobile.android).

Este puente está diseñado para facilitar la comunicación fluida entre el código nativo de Android del navegador y la página web mostrada.

Sin embargo, no implementaba los controles de seguridad adecuados, lo que llevó a una grave violación de la Política de Mismo Origen (SOP).

Vulnerabilidad UXSS en el navegador DuckDuckGo

La causa raíz del exploit radica en cómo el puente AutoconsentAndroid maneja los mensajes entrantes. El puente acepta mensajes de cualquier marco, incluidos aquellos cargados desde diferentes orígenes (iframes de origen cruzado).

Lo hace sin validar el origen del emisor ni requerir ningún token secreto para la autenticación.

Cuando el puente recibe un mensaje, una función interna llamada evalhandler lo procesa y activa el método webView.evaluateJavascript(…).

En el contexto de los WebViews de Android, este método ejecuta el código JavaScript proporcionado directamente dentro del documento de nivel superior, en lugar del iframe aislado donde se originó el mensaje.

Debido a este comportamiento específico, un iframe malicioso incrustado en una página web legítima podría usar el puente AutoconsentAndroid como proxy.

Al enviar un mensaje manipulado que contenga JavaScript malicioso, el iframe podría obligar a la página de nivel superior a ejecutarlo.

Esto elude por completo la Política de Mismo Origen, un mecanismo de seguridad fundamental que impide que los scripts de una página web accedan a datos sensibles de otra.

Según el investigador Dhiraj Mishra, el problema fue reportado al proveedor a través de HackerOne y ya ha sido parcheado por DuckDuckGo.

La UXSS se considera una vulnerabilidad crítica de clase navegador porque puede ser explotada sin interacción del usuario.

Simplemente engañando a un usuario para que visite un sitio web que contenga un iframe malicioso oculto, un atacante podría ejecutar código arbitrario en orígenes completamente diferentes.

Esta falla arquitectónica podría permitir a los actores de amenazas robar información sensible, como cookies de sesión y tokens de autenticación.

También podrían inyectar contenido malicioso de forma invisible en cualquier sitio web confiable que el usuario visite a través del navegador vulnerable. La vulnerabilidad era fácilmente accesible con la configuración predeterminada del navegador.

Tras la divulgación responsable a través de HackerOne, DuckDuckGo solucionó rápidamente el problema, y la vulnerabilidad ha sido parcheada en las últimas versiones del navegador Android.

Se recomienda a los usuarios y administradores de empresas que aseguren que su aplicación DuckDuckGo esté actualizada a la versión más reciente disponible para evitar su explotación.