La Same Origin Policy, (SOP) ou politique de même origine, est une fonctionnalité des navigateurs Internet qui permet d'assurer la sécurité des utilisateurs en isolant les contenus des pages visitées. Quand ça marche...

En vertu de la politique de même origine, il n'est pas possible à une page provenant d'un domaine A (par exemple programmez.com) d'accéder au contenu d'une page provenant d'un domaine B (par exemple linformaticien.com) ceci même si les pages sont ouvertes simultanément dans le même navigateur, chacune dans un onglet. Il n'est non plus pas possible d'exécuter sur une page d'origine A un script (du code JavaScript par exemple) téléchargé depuis une origine B. La politique de même origine permet donc d'empêcher une page malveillante d'origine A d'accéder à votre site bancaire d'origine B, de voler votre cookie de session à votre site bancaire, de faire un virement conséquent vers le webmaster de l'origine A, etc.

Malheureusement, le chercheur en sécurité Manuel Caballero a découvert dans le navigateur Edge une faille qui permet de contourner la SOP de ce navigateur. Manuel, dans un long billet technique explique le procédé dans le détail et en fait la démonstration en usurpant une identité par vol de cookie, ce qui lui permet de tweeter comme s'il était Charles Darwin.

La première vidéo ci-dessous montre une exploitation manuelle de cette faille. Mais cette exploitation pourrait parfaitement être automatisée, par exemple par le vecteur de publicités malveillantes, ce que montre la deuxième vidéo  ci-dessous.

Microsoft au courant du problème, va corriger cette faille aussi rapidement que possible. En attendant il est très prudent de ne pas utiliser Edge pour visiter des sites sensibles comme des sites bancaires. Désactiver la fonction remplissage automatique des formulaires de Edge permet de réduire considérablement les risques, mais pas de se protéger à 100%