Una vulnerabilidad de Opera GX permitió instalar mods silenciosamente y filtrar datos de las páginas

Investigadores de seguridad han revelado una vulnerabilidad en Opera GX, la versión del navegador de Opera orientada a los videojuegos, que podía permitir que un sitio web malicioso instalara un mod sin aprobación del usuario y lo utilizara después para extraer información específica de las páginas que la víctima visitara. En una demostración de prueba de concepto, los investigadores pudieron reconstruir la dirección de Gmail de un usuario con la sesión iniciada después de una sola visita y sin necesidad de hacer clic.

Opera ya ha publicado una corrección en Opera GX versión 130.0.5847.89. La compañía afirmó no haber encontrado indicios de que el problema se hubiera explotado en la práctica. Los usuarios que ejecutan la versión actual están protegidos, y la página interna about del navegador puede utilizarse para verificar la versión instalada. Opera no asignó un CVE a la vulnerabilidad.

Cómo funcionaba el ataque

Opera GX admite “mods” que modifican los temas, los sonidos, los fondos de pantalla y el estilo de los sitios. Aunque estos paquetes se distribuyen como archivos .crx, no son extensiones completas y no ejecutan JavaScript ni solicitan permisos. El problema estaba en el flujo de instalación: un sitio web podía activar automáticamente la descarga y la activación de un mod sin mostrar una solicitud de confirmación. Los investigadores demostraron que esto podía hacerse discretamente mediante un iframe oculto que apuntaba al paquete del mod.

Una vez instalado, el CSS de un mod se aplica ampliamente a las páginas que abre el navegador. Esto ofrecía a los atacantes una forma de utilizar la denominada inyección de CSS universal. Al combinar selectores de atributos CSS con solicitudes de imágenes a un servidor controlado por el atacante, el mod podía comprobar el contenido de la página poco a poco e inferir valores confidenciales carácter por carácter. Esta técnica es una forma de XS-Leak, o filtración entre sitios.

Para demostrar el concepto, los investigadores atacaron una página de cuenta de Google que exponía una dirección de correo electrónico en su HTML. Crearon un amplio conjunto de reglas y utilizaron un script para ensamblar el valor a partir de las solicitudes activadas. También señalaron otro efecto independiente: cargar un archivo .crx en modo privado podía bloquear el navegador y exponer las pestañas abiertas, incluso en la versión normal de Opera, aunque el aviso de Opera se centró en el problema de robo de datos.

Gravedad y respuesta

El equipo de recompensas por errores de Opera valoró inicialmente el informe con una gravedad menor, pero después lo clasificó como un problema de máxima gravedad y pagó la recompensa máxima de 5.000 dólares. La compañía afirmó que el ataque habría requerido que la víctima visitara un sitio malicioso y permaneciera en la página el tiempo suficiente para que se completaran la instalación del mod y la cadena de redirecciones. Los investigadores respondieron que el exploit podía ejecutarse con suficiente rapidez como para actuar antes de que el usuario advirtiera el aviso de eliminación del navegador.

El incidente pone de relieve cómo una función destinada a la personalización puede convertirse en un riesgo de exposición de datos cuando su alcance va más allá de la página original. En este caso, el CSS por sí solo bastó para crear una vía de filtración amplia una vez que se propagó con el navegador en lugar de permanecer en un único sitio.