PassKeys-Phishing-Schwachstelle in wichtigen mobilen Browsern: Bluetooth-Reichweiten-Angriff

Ein Sicherheitsforscher hat eine Schwachstelle entdeckt, die alle wichtigen mobilen Browser betrifft und es Angreifern im Bluetooth-Bereich ermöglicht, PassKeys-Konten zu übernehmen, indem sie FIDO:/ Intents auslösen. Angreifer verwenden eine kontrollierte Webseite, um Opfer auf eine FIDO:/ URI umzuleiten, wodurch eine legitime PassKeys-Authentifizierungsabsicht ausgelöst wird, die auf dem Gerät des Angreifers empfangen wird. Dies ermöglicht PassKeys-Phishing und bricht die Annahme ihrer Phishing-Immunität. Die Schwachstelle erfordert keine komplexen Fehlkonfigurationen von Webanwendungen für die Kontoübernahme. Alle wichtigen mobilen Browser haben diese Schwachstelle behoben (CVE-2024-9956).