Critical Flaws Discovered in Belgian eID Software Used by 2 Million People - SecurityWeekベルギーで200万人超が使うConnectiveのブラウザー拡張に、通信元サイトを検証しない欠陥があり、悪意あるサイトや広告からの操作を許していた。

• ベルギーで200万人超が使うConnectiveのブラウザー拡張に、通信元サイトを検証しない欠陥があり、悪意あるサイトや広告からの操作を許していた。
• 攻撃者はeIDや決済カード情報の読み取り、偽の認証画面によるPIN窃取、物理カード挿入時の法的署名偽造に加え、カード不要のユーザー権限RCEも実行できたとされる。
• Nitroは報告から146日後に修正し、未承認のorigin要求とPIN処理を対策したが、CVEは割り当てられていない。

銀行や政府機関が依存する電子IDと法的署名の信頼モデルを、ブラウザー拡張のorigin検証不備が直接損なう事例である。