Vulnérabilité de phishing PassKeys dans les principaux navigateurs mobiles : attaque à portée Bluetooth

Un chercheur en sécurité a découvert une vulnérabilité affectant tous les principaux navigateurs mobiles, permettant aux attaquants à portée Bluetooth de prendre le contrôle des comptes PassKeys en déclenchant des intentions FIDO :/. Les attaquants utilisent une page Web contrôlée pour rediriger les victimes vers une URI FIDO :/, lançant une intention d’authentification PassKeys légitime reçue sur l’appareil de l’attaquant. Cela permet le phishing PassKeys, brisant l’hypothèse de leur immunité au phishing. La vulnérabilité ne nécessite pas de mauvaises configurations complexes d’applications Web pour prendre le contrôle du compte. Tous les principaux navigateurs mobiles ont corrigé cette vulnérabilité (CVE-2024-9956).