Falhas críticas foram encontradas na extensão Connective Signing Extension, um componente de navegador utilizado por mais de 2 milhões de pessoas na Bélgica para acessar cartões de identidade eletrônica e cartões de pagamento Maestro. As questões agora corrigidas poderiam ter permitido que sites maliciosos, anúncios ou iframes ocultos lessem dados do cartão, roubassem PINs de eID, criassem solicitações de assinatura fraudulentas e executassem código controlado pelo atacante em dispositivos Windows.
Análise técnica das vulnerabilidades
Pesquisadores da Have I Been Pwned descobriram que a extensão não vinculava adequadamente as solicitações ao site de origem. Embora a maioria dos comandos exigisse um token de ativação, o token carecia de proteção de origem adequada. Isso significava que um token emitido para um site parceiro legítimo poderia potencialmente ser reutilizado por outro site. Como resultado, uma página controlada pelo atacante poderia interagir com o host nativo e acessar dados de cartões eID ou Maestro conectados sem o conhecimento significativo do usuário.
Uma falha mais grave no processo de verificação de PIN permitia que sites exibissem diálogos de PIN nativos da Connective com títulos e mensagens controlados pelo atacante, potencialmente impersonando serviços bancários ou governamentais confiáveis e enganando os usuários a inserirem seus PINs. O token de PIN resultante era enviado de volta para a página da web e foi projetado para ser inseguro, incluindo tanto material de PIN criptografado quanto informações necessárias para descriptografá-lo.
Risco de execução remota de código
As falhas também incluíram uma questão de execução remota de código (RCE) drive-by. Os pesquisadores descobriram que um comando executado no host nativo poderia carregar uma biblioteca de um caminho fornecido por uma solicitação web. Um atacante poderia combinar isso com um arquivo baixado disfarçado como um documento inofensivo, fazendo com que o software Connective carregasse código malicioso no nível de privilégio do usuário atual.
A questão não exigia que um cartão eID estivesse conectado, tornando-a um risco mais amplo de segurança de endpoint. O impacto se estendeu além do roubo de identidade individual. Os fluxos de trabalho eID belgas são usados para acessar serviços de alto valor, e uma capacidade de assinatura comprometida poderia permitir tentativas de takeover de conta ou verificação de identidade fraudulenta.
Remediação e lições aprendidas
A Nitro Software Belgium, empresa por trás da Connective e um Provedor de Serviços de Confiança Qualificado listado na UE, liberou correções em várias etapas. A remediação final desativou a capacidade de carregamento de biblioteca arriscada, alterou o manuseio de tokens de PIN para que os sites recebessem apenas um valor de referência e aplicou verificações de origem para solicitações.
A empresa completou a remediação 146 dias após o relatório inicial, sem que CVEs tivessem sido atribuídos no momento do relatório. Isso destaca a importância de programas de bug bounty e divulgação responsável para acelerar a correção de falhas em componentes de identidade crítica.
Recomendações de segurança
As organizações que utilizam serviços que dependem da extensão Connective devem garantir que a versão mais recente esteja instalada. A verificação de origem e a validação de tokens devem ser reforçadas em todas as integrações de identidade. A monitoração de atividades de assinatura e autenticação deve ser intensificada para detectar comportamentos anômalos.
Perguntas frequentes
Quem é afetado? Usuários na Bélgica que utilizam cartões eID e serviços bancários que dependem da extensão Connective.
Como proteger os dados? Atualizar a extensão imediatamente e monitorar atividades de autenticação suspeitas.