US CERT ออกประกาศแจ้งเตือนช่องโหว่เบราว์เซอร์ที่สามารถถูกยิงคุกกี้เข้าไปยังเว็บที่เข้ารหัสได้ และทำให้ผู้ใช้ถูกหลอกให้กรอกข้อมูลทั้งที่กำลังใช้งานอยู่ในเว็บเข้ารหัส การยิงคุกกี้ (cookie injection) ทำได้เพราะนักพัฒนาเว็บสามารถกำหนดได้ว่าคุกกี้จะใช้งานเฉพาะ HTTPS ด้วยการต่อท้ายคุกกี้ด้วยข้อความ "secure" แต่การกำหนดนี้สามารถกำหนดขณะใช้งาน HTTP ที่ไม่เข้ารหัสก็ได้ แนวทางการโจมตี แฮกเกอร์จะต้องดักฟังการเชื่อมต่อที่ไม่เข้ารหัส และปลอมตัวเป็นเว็บโดเมนเดียวกัน ส่งข้อมูลเว็บแบบไม่เข้ารหัสไปยังเบราว์เซอร์เพื่อให้เบราว์เซอร์ตั้งค่าคุกกี้ในโดเมนที่เข้ารหัสแล้ว การโจมตีที่เป็นไปได้ เช่น การขโมยข้อมูลค้นหา ด้วยการสมัครสมาชิกเว็บค้นหาเช่นกูเกิล แล้วยิงคุกกี้ให้เหยื่อล็อกอินด้วยบัญชีของแฮกเกอร์โดยไม่รู้ตัว แล้วมาดาวน์โหลดประวัติการค้นหาออกไปภายหลัง หรือการขโมยเงินด้วยการยิงให้บัญชีรับเงินฝากกลายเป็นบัญชีของแฮกเกอร์ไป ทางแก้ไขในตอนนี้ต้องอาศัยเว็บให้รองรับ HSTS ที่บังคับให้เบราว์เซอร์ต้องเชื่อมต่อ HTTPS เสมอ งานวิจัยนี้เสนอในงาน USENIX (PDF) ตั้งแต่เดือนที่แล้ว ที่มา - US-CERT Security, HTTPS, HSTS, Browser