В Chrome исправили уязвимость, передававшую персональные данные через HTML-теги

chrome

Разработчики Google исправили уязвимость в браузере Chrome, с помощью которой злоумышленники получали секретную информацию с других сайтов через аудио- и видеотеги HTML. Исследователь безопасности Рон Масас (Ron Masas) из компании Imperva определил проблему, связанную с уязвимостью CVE-2018-6177, а в конце июля 2018 года в Chrome 68 установили защитный код.

Атака на аудио и видео

По словам исследователя, для кибератаки требуется вредоносный код, который загружает контент с законных сайтов внутри аудио- и видеотегов HTML. Атакующий может определить размер ответов, получаемых с сайтов, и угадывать различные типы информации. В обычной ситуации это невозможно из-за функции CORS, запрещающей сайтам загружать ресурсы с других веб-страниц, но программа способна обойти защиту.

Атака на конфиденциальные данные и API

Киберпреступники могли получить данные о поле и возрасте пользователей с помощью функции Audience Restriction в настройках Facebook. По мнению Масаса, собирая большие или малые ответы через социальные сети, можно последовательно получать ценную личную информацию.

Другой специалист по вопросам безопасности в Интернете Майк Гуальтьери (Mike Gualtieri) считает, что при атаке можно использовать более креативный подход, чем сбор данных от пользователей Facebook. Например, использовать корпоративные бэкенды, Интранет и корпоративные веб-приложения. Благодаря багу появилась возможность передачи запросов, поэтому атака на API тоже может быть успешной.

Как утверждает сайт Bleeping Computer, чтобы конфиденциальные данные пользователей не просочились в Интернет, рекомендуется обновить Chrome до версии v68.0.3440.75 или новее.

Напомним, что в конце июля 2018 года вышла стабильная настольная версия Google Chrome 68, в которой появилась серая пометка «Not Secure» для сайтов, использующих HTTP-протокол, а также добавлены новые API.

Источник: Bleeping Computer

Ещё интересное для вас:
— Биты, байты, Ада Лавлейс — тест на знание околоIT.
— Level Up — события и курсы, на которых можно поднять свой уровень.
— Работа мечты — лучшие IT-вакансии для вас.

Вакансии в тему:

Лого компании «Сбербанк»
Full Stack разработчик
Full Stack разработчик
Сбербанк, Екатеринбург, от 50 000 ₽
Лого компании «Finch»
Junior Frontend-разработчик
Junior Frontend-разработчик
Finch, Москва, от 70 000 до 90 000 ₽ (до налогов)