Edge tarayıcısında keşfedilen gizli listedeki siteler, kullanıcıya sormadan Flash içerikleri oynatabiliyor.
Microsoft Edge, Windows 10 işletim sisteminde varsayılan tarayıcı olarak geliyor. Edge’de bütünleşik Adobe Flash desteği de bulunuyor ama Flash içerikleri otomatik olarak çalışmıyor. Edge, diğer popüler tarayıcılarda olduğu gibi “oynatmak için tıkla” prensibini benimsiyor. Flash desteğini tarayıcı ayarlarından tamamen kapatmak da mümkün. Bu önlemlerin sebebiyse Flash’ın bitmek bilmeyen güvenlik açıkları.
Ancak Microsoft’un Edge tarayıcısında, otomatik olarak Flash çalıştırmasına izin verilen siteleri içeren gizli bir liste keşfedildi. 58 siteden oluşan listede Deezer, Facebook, MSN.com, Yahoo ve QQ gibi bilindik isimlerin yanı sıra, böyle bir listede görmeyi beklemeyeceğimiz İspanya’daki bir kuaförün sitesi ve Flash oyun siteleri de yer alıyor.
Microsoft’un şifreleyerek gizlemeye çalıştığı listeyi keşfedip çözen, sonra da Microsoft’a raporlayan kişi ise bir Google mühendisi oldu. Microsoft ise bu ay yayınladığı bir güncellemeyle listedeki Facebook’a ait iki site dışındaki tüm siteleri sildi. Ayrıca bu sitelerin de HTTPS kullanmasını zorunlu hale getirdi.
Liste güvenlik riski taşıyor
Popülerliğini giderek yitiren Flash teknolojisi, güvenlik açıkları nedeniyle yıllarca eleştirilmiş, Adobe da 2020 yılında Flash’ı emekli etmeye karar vermişti. Microsoft ise Edge tarayıcısına gömülü olan Flash’ı her ay güncellemeye ve güvenlik açıklarını kapatmaya devam ediyor.
Listeyi yayınlayan Google mühendisi, listedeki sitelerden en az üç tanesinde bilinen XSS zafiyetleri bulunduğunu açıkladı. Söz konusu liste güncellenmeden önce saldırganlar bu listedeki siteleri ve bilinen zafiyetleri kullanarak Flash tabanlı saldırılar düzenleyebilirdi. Ancak böyle bir saldırının yaşanıp yaşanmadığı bilinmiyor.
Microsoft bu izin listesini neden oluşturduğuna dair bir açıklama yapmadı. En mantıklı tahmin, listedeki sitelerin uyumluluk sorunlarını gidermek. Facebook gibi bazı popüler sitelerde hala Flash içerikler mevcut. Öte yandan listede adı sanı duyulmamış bazı Flash oyun siteleri de yer alırken, en popüler Flash oyun sitelerine yer verilmemiş. Dolayısıyla listenin neye göre oluşturulduğu hala merak konusu.
