A vulnerabilidade descoberta no navegador Arc gerou preocupações significativas sobre a segurança dos dados dos usuários. O pesquisador que a encontrou, que preferiu não ser identificado, começou sua análise ao se registrar na plataforma, percebendo rapidamente que o Arc utiliza o Firebase apenas para autenticação, mas não para outras requisições.

Após uma investigação mais aprofundada, o pesquisador identificou uma funcionalidade chamada "easels", uma interface semelhante a um quadro branco que permite a compartilhamento de conteúdo. Contudo, ao tentar entender como as informações eram transmitidas, ele não encontrou requisições no seu proxy, levantando suspeitas sobre a segurança do armazenamento de dados no Firestore, um serviço de banco de dados que permite acesso direto sem a necessidade de um backend complexo.

Com base em experiências anteriores, o pesquisador elaborou um script usando Frida para monitorar as chamadas relevantes do Firestore, descobrindo que o Arc armazena preferências e objetos de usuário, além de referências e "boosts". Os "boosts" são ferramentas que permitem aos usuários personalizar a aparência de sites, manipulando elementos como cores e fontes, e, o mais alarmante, podem conter JavaScript arbitrário.

O pesquisador então explorou a possibilidade de alterar o campo de ID do criador dos boosts. Ele se deu conta de que, ao modificar esse campo, seria possível comprometer outro usuário sem o seu consentimento. A cadeia de ataque se torna ainda mais preocupante ao considerar que os IDs de usuários podem ser obtidos facilmente através de referências de usuários ou compartilhamento de easels.

Em um resumo, a vulnerabilidade permitia que um usuário malicioso criasse um boost malicioso e, ao modificar o ID do criador, comprometesse a experiência de navegação de outra pessoa. O navegador Arc, reconhecendo a gravidade da vulnerabilidade, decidiu recompensar o pesquisador com um prêmio de 2.000 dólares por sua descoberta.

O cronograma de eventos da vulnerabilidade mostra que o contato inicial foi feito em 25 de agosto, e a falha foi corrigida em 26 de agosto, com um CVE atribuído em setembro. Além disso, o pesquisador notou que os boosts poderiam ser executados em páginas privilegiadas, como configurações do Chrome, o que abriria portas para escalonamento de privilégios.

Essas descobertas levantam sérias preocupações sobre a privacidade, uma vez que o Arc parece enviar dados ao servidor, como consultas que são realizadas sempre que um usuário visita um site. A situação exige que os desenvolvedores do Arc reavaliem suas práticas de segurança e reforcem a proteção dos dados dos usuários.