Уязвимость в ряде браузеров, в том числе Chrome и Firefox, которая позволяет проводить подмену URL в адресной строке, была обнаружена экспертом из Пакистана Рафаем Балохом. Источником проблемы является обработка текстов на иврите и арабском языке, которые записываются справа налево.
При использовании атакующим URL, который начинается с IP-адреса и содержит символ арабского письма, хост и путь поменяются местами. Например, URL-адрес 127.0.0.1/ا/http://example.com преобразуется в http://example.com/ا/127.0.0.1, так как в нем присутствует арабская буква ا («алеф»). Способ работает со всеми буквами арабского алфавита.
По словам эксперта, для успешного проведения атаки фрагмент URL с указанием IP-адреса может быть без труда спрятан, особенно в мобильных браузерах.
Похожую уязвимость ранее обнаружили в Firefox. Но в случае с данным браузером URL может начинаться как с IP-адреса, так и с арабских символов. Например, http://عربي.امارات/google.com/test/test/test преобразуется в google.com/test/test/test/عربي.امارات.
В Google об этой уязвимости узнали еще в 2015 году. В мае этого года Балох сообщил специалистам компании об идентичной проблеме в версии Chrome для Android, которые исправили ошибку в конце июня. Mozilla ликвидировала уязвимость в начале августа. Как утверждает исследователь, проблема присутствует и в других браузерах. Однако остальные разработчики, в отличие от Google и Mozilla, еще продолжают вести работу над обновлением.