0.0.0.0 Day: vulnerabilità nei browser da 18 anni

I ricercatori di Oligo hanno scoperto una grave vulnerabilità, denominata 0.0.0.0 Day, presente nei browser da almeno 18 anni. Chrome, Firefox e Safari consentono ai siti web di usare l’indirizzo IP 0.0.0.0 per interagire con i servizi in esecuzione sulla rete locale. Google, Mozilla e Apple sono al lavoro per implementare una soluzione.

Descrizione della vulnerabilità

La RFC 1122 vieta di usare l’indirizzo IP 0.0.0.0 come destinazione IPv4. Nonostante ciò, tutti i principali browser accettano richieste a questo indirizzo, consentendo ai siti web esterni di comunicare con servizi che vengono eseguiti localmente su macOS e Linux (Windows non è interessato dal problema).

I siti web potrebbero quindi eseguire codice arbitrario sui dispositivi dei visitatori, usando 0.0.0.0 invece di 127.0.0.1 (localhost). Sfruttando la vulnerabilità 0.0.0.0 Day, un malintenzionato potrebbe accedere alla rete locale, dopo aver convinto la vittima a visitare un sito che invia una richiesta all’indirizzo 0.0.0.0.

I cybercriminali potrebbero mettere le mani su file, credenziali, messaggi e altri dati, inclusi quelli presenti sui server web. Google ha comunicato che bloccherà l’accesso all’indirizzo 0.0.0.0 a partire da Chrome 128. Apple ha già implementato il blocco nella beta di macOS 15 Sequoia.

Mozilla non ha ancora sviluppato un fix perché il blocco potrebbe avere conseguenze per i server che usano l’indirizzo 0.0.0.0 al posto di localhost (127.0.0.1). Un portavoce ha dichiarato che devono essere valutati eventuali problemi di compatibilità prima di adottare una restrizione. Gli esperti di Oligo hanno fornito alcuni consigli per proteggere le applicazioni locali in attesa dei fix.