Ошибка Chrome позволяет злоумышленникам красть веб-секреты с помощью аудио или видео HTML-тегов

  1. Атака использует HTML и аудио теги видео
  2. Атака может получить конфиденциальные / защищенные данные с других сайтов.
  3. API тоже в опасности
  4. Атака похожа на Wavethrough, но отличается

Google исправил уязвимость в браузере Chrome, которая позволяет злоумышленнику получать конфиденциальную информацию с других сайтов с помощью тегов HTML аудио или видео

Google исправил уязвимость в браузере Chrome, которая позволяет злоумышленнику получать конфиденциальную информацию с других сайтов с помощью тегов HTML аудио или видео.

Рон Масас, исследователь безопасности из Imperva, обнаружил и сообщил об этой проблеме - CVE-2018-6177 - загуглить. Производитель браузеров исправил дыру в безопасности в конце июля, выпустив Chrome v68.0.3440.75 ,

Уязвимость может быть использована в более старых версиях Chrome в ситуациях, когда злоумышленник может заманить жертву на вредоносный сайт, с помощью вредоносной рекламы (вредоносный код в рекламе, встроенной на законных сайтах) или с помощью уязвимостей на законных сайтах, где злоумышленник может внедрить и выполнить код - например, с помощью хранимых недостатков межсайтового скриптинга (XSS).

Атака использует HTML и аудио теги видео

В записать Масас пояснил, что опубликованный ранее сегодня и предоставленный Bleeping Computer , сценарий атаки требует вредоносного кода, который загружает контент с законных сайтов в теги HTML аудио и видео.

Масас говорит, что, используя события «прогресса», он может определить размер ответов, полученных на внешних сайтах, и угадать различные типы информации.

При нормальных обстоятельствах это было бы невозможно из-за CORS - общего доступа к ресурсам - функции безопасности браузера, которая не позволяет сайтам загружать ресурсы с других сайтов, но эта атака обходит CORS.

«По сути, эта ошибка позволяет злоумышленникам оценивать размер ресурсов из разных источников, используя видео или аудио теги», - сказал Масас в интервью Bleeping Computer по электронной почте.

Атака может получить конфиденциальные / защищенные данные с других сайтов.

В своих тестах он смог определить возможную возрастную группу и пол пользователя, добавив параметр «Ограничение аудитории» в общедоступных постах Facebook.

«Путем манипулирования такими сайтами, как Facebook, для отображения пользовательских данных в форме больших или маленьких ответов, становится возможным последовательно извлекать ценные данные», - сказал нам Масас.

Но Майк Gualtieri Исследователь безопасности, специализирующийся на проблемах веб-безопасности, говорит, что эту атаку можно использовать более креативно, чем сбор данных от пользователей Facebook. Например, путем нацеливания на корпоративные бэкэнды, интрасети и другие корпоративные приложения.

«Готовые системы, настраиваемые корпоративными ИТ-подразделениями, могут быть лучшими целями для атак такого типа, так как злоумышленник может изучить внутренние системы системы и потенциально повлиять на всех пользователей системы», - сказал Гуалтьери сегодня в беседе с Bleeping Computer. ,

«Очень часто случается, что эти системы более однородны в зависимости от вошедшего в систему пользователя», - сказал он, добавив, что злоумышленники могут готовить атаки, направленные на фильтрацию конфиденциальных данных, хранящихся в определенных областях корпоративных веб-приложений.

API тоже в опасности

Кроме того, Гуалтьери считает, что атака также может быть успешной в отношении API, к которым злоумышленники обычно не имеют доступа, но к которым ошибка позволяет им передавать запросы.

«В этот день очень выполнимо найти слабо защищенные данные обмена Web-API», - сказал нам Гуалтьери. «Злоумышленник с достаточным усердием может обработать группу ожидаемых запросов от зарегистрированных пользователей и нацелить эти ответы API».

«Например, предположим, что у гипотетической фирмы по торговле акциями есть открытая конечная точка API, которая возвращает что-то вроде:

Запрос: http [:] // жертва / jsonapi / lasttrade / GOOG Ответ: {"stock": "GOOG", "lasttrade": 0, "ошибка": "не авторизован"}

«Если пользователь вошел в систему, запрос может быть:

{"stock": "GOOG", "lasttrade": 100, "error": false} или, {"stock": "GOOG", "lasttrade": 1000, "error": false}

«Таким образом, возможно, вы могли бы вывести на основании этого диапазон купленных акций», - говорит Гуалтьери.

«Этот пример может показаться нереальным для многих, но я видел слишком много плохо спроектированных / разоблаченных веб-API, чтобы знать, что есть случаи, подобные этому гипотетическому примеру, лежащему в сети», - добавляет он.

Атака похожа на Wavethrough, но отличается

Если атака Масаса звучит знакомо, это потому, что она очень похожа на уязвимость, раскрытую в марте, известную как Wavethrough (CVE-2018-8235), недостаток, затрагивающий Edge и Firefox.

Как и ошибка Masas Chrome, Wavethrough использовал аудио и видео теги, чтобы обойти защиту CORS, загрузить данные с других сайтов и определить их содержимое.

Но на этом сходство заканчивается.

«Уязвимость Wavethrough использовала сервисного работника и запрос« диапазона »для извлечения необработанных данных», - сказал Масас Bleeping Computer . «С другой стороны, мы наблюдаем за событиями« прогресс », сгенерированными нашим элементом, чтобы оценить размер ресурса из разных источников, а затем используем эту информацию для получения дополнительной информации о пользователях, используя фильтры ограничения на сайтах, таких как Facebook».

Джейк Арчибальд Инженер Google, обнаруживший Wavethrough, также говорит, что две атаки совершенно разные, даже если они осуществляются с помощью тегов HTML аудио и видео.

«Это очень немного похоже, но это скорее атака по времени, тогда как Wavethrough не был», - сказал Арчибальд Bleeping Computer в частной беседе сегодня. «Wavethrough был нарушением модели происхождения».

Разница заключается в том, что Wavethrough извлекает любые данные, которые он находит после взлома CORS, в то время как недостаток Масаса постоянно подталкивает другие сайты к потоку запросов, пытающихся угадать, что это за данные.

Но в то время как ошибка Chrome звучит сложнее в использовании, это не так.

«Атака не сложна и требует некоторой подготовки», - сказал нам Гуалтьери, добавив, что эта игра с постоянными угадываниями не означает, что ошибка Chrome ограничена только одним пользователем.

«Игра в угадайку может использоваться для одновременной работы с несколькими пользователями в зависимости от целевого сайта», - сказал Гуалтьери.

Поэтому, если пользователи не хотят, чтобы их веб-секреты были разглашены в Интернете, рекомендуется обновить Chrome до версии v68.0.3440.75 или новее.

Похожие

Позиционирование сайтов Катовице optimization Оптимизация сайтов в Google
Интернет быстро становится крупнейшим источником трафика и прибыли для компаний. Когда люди ищут продукт или услугу, они редко делают это в телефонной книге - они попадают в поисковую систему. Поэтому в вашей маркетинговой стратегии вы должны обязательно учитывать позиционирование сайта
Как добавить видео и аудио файлы на веб-страницу с использованием HTML5
Для полного урока, нажмите здесь О видео и аудио файлах: Вы можете добавлять видео- и аудиофайлы на свою веб-страницу, предоставляя ссылки на файлы
Что случилось с плагинами chrome: // в Google Chrome?
Google внес еще одно изменение в настройки Chrome «под капотом», удалив страницу плагинов chrome: // в версии 57, так как теперь получить доступ к настройкам плагинов? Сегодняшний пост SuperUser Q & A содержит ответ на
Зарабатываем на создании блогов и сайтов
... ствовать вас на своем блоге. Сегодня я решил поразмышлять над тем, как простому блогеру можно заработать на создании сайтов. На сколько это реально. В этом посте я расскажу где искать заказчиков, которые будут платить за таковую не сложную работу. Приведу реальный пример. Однажды моя знакомая увидела как я копался в админке своего блога и спросила чем я занимаюсь. Я ей ответил, что пишу новую статью для своего блога, которую смогут прочитать сотни и тысячи людей, которым
Shockwave Flash не отвечает в Chrome
Есть ли у вас проблемы с Flash в браузере Chrome? Страницы медленно загружаются и блокируются, и в адресной строке появляется желтое сообщение, не соответствующее плагину Shockwave Flash? Посмотрите, как решить эту проблему. Мы уже показали
Ошибка в Windows 8.1 лишает пользователей функции восстановления
Многие пользователи после обновления до Windows 8.1 не могут использовать функцию сброса или обновления системы. Проблема касается клиентов, которые приобрели и установили розничную копию Windows 8 - в виде DVD, ISO-образа или в электронном виде с веб-сайта Microsoft. Во время установки Windows 8 создается файл ESD, который необходим для правильной работы функции сброса и обновления операционной системы. Эти функции перестают работать правильно в результате обновления до Windows 8.1 с
Видео в фотокниге - это так просто
Праздничная поездка закончилась, теперь пришло время разобраться с множеством снимков. Какие из них входят в фотокнигу? И что мне делать с видео? Разве нет способа запечатлеть эти воспоминания - не только на ПК, но и в фотокниге? Да, есть. И это очень просто: Все еще очарованный моей поездкой в ​​Новую Зеландию, гостеприимством, впечатляющей береговой линией и экзотическими животными, я - снова дома - установил прямо на компьютер и создал фотокнигу, чтобы немедленно захватить мои очень
Как воспроизвести DVD или Blu-Ray фильм в Windows
Обновлено: 12/09/2018 от Computer Hope По умолчанию, Windows Media Player не будет воспроизводить оптические диски. Пользователи Windows, у которых нет DVD
Создание ссылок в #CCC - как получить ссылки dofollow
... сылки ? Хотите узнать самые важные методы построения ссылок ? Я подготовил материал под названием «Построение ссылок в цвете # CCC» , в котором представлен обзор выбранных методов связывания. Конечно, в дополнение к обычно используемым источникам вы также найдете описания методов, которые вы не знали, не использовали или просто не оценили, опуская их при определении стратегии построения ссылок. В материале я делаю акцент на кратком, лаконичном
6 способов тестирования сайтов в нескольких версиях Internet Explorer
Несмотря на то, что в Google Chrome и Firefox много пользователей, все еще существует большое количество людей, которые все еще используют браузер Internet Explorer от Microsoft, потому что он встроен в операционную систему Windows. Например, более новые версии веб-браузеров предлагают лучшую безопасность и функции IE 9 и выше только начал иметь полную поддержку URI данных, что очень полезно для
Как установить Google Chrome в OpenSUSE Leap
В этом руководстве я покажу вам, как установить Google Chrome на OpenSUSE Leap 42.1 и 42.2. Мы будем использовать менеджер пакетов zypper, чтобы добавить репозиторий Google Chrome, а затем установить его. Установите Google Chrome на OpenSUSE Откройте терминал и добавьте репозиторий Google Chrome, используя следующую команду. ar означает добавить хранилище. sudo zypper ar http://dl.google.com/linux/chrome/rpm/stable/x86_64 Google-Chrome

Комментарии

Вы изо всех сил пытаетесь получить определенные аудио или видео файлы для воспроизведения под Linux?
Вы изо всех сил пытаетесь получить определенные аудио или видео файлы для воспроизведения под Linux? Вам было трудно заставить кодеки работать с вашим дистрибутивом? Обратитесь за помощью или поделитесь своим опытом в комментариях ниже! Кредит изображения: Злой пингвин Wnong через Shutterstock,
Так как же теперь получить доступ к плагинам Google Chrome?
Так как же теперь получить доступ к плагинам Google Chrome? Что случилось с плагинами chrome: // в Google Chrome? Ответ Участник SuperUser Стивен имеет ответ для нас: Страница плагинов chrome: // была удалена в Google Chrome версии 57. Цель: удалить страницу плагинов chrome: //, перенеся конфигурацию последнего оставшегося плагина, Adobe Flash Player, в свое явное место в настройках контента (включая опцию
Может быть наволочка с твоим фото или пожеланиями?
Может быть наволочка с твоим фото или пожеланиями? Или брелок, часы или, может быть, сумка для покупок? Есть много возможностей. Ужин - сюрприз. Этим подарком вы можете привлечь всю семью, чтобы он не был очень дорогостоящим или занимал много времени. Следите за тем, чтобы ваша мама не приходила домой рано и была счастлива, когда наконец вернется и увидит, что ее ждет. Ювелирные изделия. В этом случае вам нужно хорошо знать вкус мамы
Или, может быть, камера от дилера из-за рубежа или с онлайн-аукциона?
Или, может быть, камера от дилера из-за рубежа или с онлайн-аукциона? Это намного безопаснее, но не без проблем. Стоит помнить, что мы сможем использовать текущие акции (Cashback, расширенную гарантию, бесплатное обслуживание и т. Д.) Только тогда, когда купим оборудование у официального партнера в нашей стране, - говорит Возняк. - Кроме того, существует проблема с возможным счетом НДС. Однако мы можем быть спокойны за гарантийный ремонт. Это не должно быть проблемой.
Или, может быть, вы хотите определить, подходит ли ваш старый сайт для обновления?
Или, может быть, вы хотите определить, подходит ли ваш старый сайт для обновления? Начните с проверки наиболее важных функций сайта самостоятельно. Автор фото: Центральное командование ВМС США / Пятый флот США В начале скажем честно: независимую проверку сайта нельзя сравнивать с аудитом,
Любимая книга или, может быть, праздник с кем-то рядом?
Любимая книга или, может быть, праздник с кем-то рядом? Мирес позволит вам почувствовать ваш любимый момент на кровати и придаст настоящий вкус вашему отдыху. Кровать Mires 180x200cm отличается не только великолепной формой и исключительным комфортом, но и использованием материалов
Вы хотите перевезти или перевезти свой автомобиль из одного штата в другой в пределах Индии, но не знаете, с чего начать и как это сделать правильно?
Вы хотите перевезти или перевезти свой автомобиль из одного штата в другой в пределах Индии, но не знаете, с чего начать и как это сделать правильно? Межгосударственный процесс передачи автомобилей в Индии немного сложен. Есть много документации и других важных вещей, которые нужно сделать, чтобы безопасно транспортировать ваш автомобиль из одного штата в другой в Индии. Это не то же самое, что перевезти обычные предметы домашнего обихода и материалы, где все, что вам нужно, это надежные грузчики
Или может он любит экстремальные переживания?
Или может он любит экстремальные переживания? Хорошая идея подарка для него будет ваучером банджи или поездкой на рафтинге. на www.lovvi.pl Вы найдете многочисленные билеты, ваучеры и ваучеры на различные достопримечательности. Благодаря возможности поиска подарков по городам, вы можете легко найти ближайший к вашему месту жительства. "Потому что вам нужно двое для танго ..." А может, в этот раз по-другому пойти на
8. Есть несколько способов, которыми вы можете сказать если вы используете 64-битную Windows Есть ли у меня 32-битная или 64-битная Windows?
Вы когда-нибудь переключали устройство Bluetooth во время воспроизведения или во время разговора? Это работало без проблем? Мы с нетерпением ждем вашего комментария.
Или, может быть, отлично организованный повар, который точно выполняет подробные инструкции?
Или, может быть, отлично организованный повар, который точно выполняет подробные инструкции? Независимо от того, любая работа на кухне всегда заканчивается хотя бы небольшим количеством беспорядка. Тем не менее, современный и приятный на вид интерьер кухни может помочь сохранить спокойную и расслабляющую атмосферу, которая уравновесит стресс от приготовления пищи и приготовления пищи. Светло-серый виниловый пол на красиво оформленной кухне показывает, как спокойно может выглядеть
Но давайте перейдем к достоинствам или как принять участие в планировании дешевого и насыщенного отдыха?
Но давайте перейдем к достоинствам или как принять участие в планировании дешевого и насыщенного отдыха? Мы сокращаем стоимость поездки Известно, что двумя крупнейшими «пожирателями» бюджета, выделенными на праздничную поездку, являются расходы, связанные с проживанием и поездкой в ​​сам пункт назначения. Поэтому, если мы хотим сократить общие отпускные расходы, мы должны начать с проверки возможности сокращения расходов в этих двух областях. Когда дело

Google внес еще одно изменение в настройки Chrome «под капотом», удалив страницу плагинов chrome: // в версии 57, так как теперь получить доступ к настройкам плагинов?
Страницы медленно загружаются и блокируются, и в адресной строке появляется желтое сообщение, не соответствующее плагину Shockwave Flash?
Какие из них входят в фотокнигу?
И что мне делать с видео?
Разве нет способа запечатлеть эти воспоминания - не только на ПК, но и в фотокниге?
?сылки ?
Хотите узнать самые важные методы построения ссылок ?
Вы изо всех сил пытаетесь получить определенные аудио или видео файлы для воспроизведения под Linux?
Вам было трудно заставить кодеки работать с вашим дистрибутивом?
Так как же теперь получить доступ к плагинам Google Chrome?