riesgo de bucle de retorno localhost

Question

riesgo de bucle de retorno localhost

#1 de Rоry McCune (4 votos)

3

De forma predeterminada, el acceso a [::1] y localhost no están permitidos en Microsoft Edge. Una forma de solucionar esto es habilitarlo en la página about:flags :

En esa etiqueta también dice (this might put your device at risk) .

¿A qué riesgos me estoy exponiendo al permitir el bucle de retorno localhost?

Estoy pensando que XSS no sería un riesgo debido a la Política del mismo origen (a menos que sea un sitio XSS que se ejecuta en mi propio servidor web local, pero en ese caso el atacante ya tiene control local de mi dispositivo).

windows-10 microsoft-edge

pregunta rink.attendant.6 10.08.2015 - 09:20

fuente

1 respuesta

Lea otras preguntas en las etiquetas windows-10 microsoft-edge

¿El certificado del servidor controla las suites de cifrado disponibles para asegurar las comunicaciones? Ataques XSS famosos sobre JavaScript [cerrado]

score 4 · Accepted Answer

Un riesgo que puede ocurrir aquí es la falsificación de solicitudes entre sitios (CSRF). Supongamos que tiene una aplicación ejecutándose en su host local que presenta un servidor web para fines de administración. Si permites localhost en un navegador, al visitar un sitio controlado por el atacante, el atacante podría solicitar una URL como

enlace

que, si es válido para la escucha del sitio en ese host, podría causar una acción involuntaria.

Ahora, por supuesto, esto requiere que un servicio vulnerable esté escuchando en ese puerto, por lo que no todos estarían en riesgo aquí. Sin embargo, lo que Microsoft probablemente ha hecho es observar las concesiones de permitir o rechazar este acceso y decidió que para el caso de uso mayoritario hay más riesgo que beneficio, por lo que han establecido este valor predeterminado, al tiempo que ofrecen una solución alternativa si es necesario.