搜索

[28492] 2020-08-12_GoogleChrome浏览器错误使数十亿用户遭受数据盗窃

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-08-12_GoogleChrome浏览器错误使数十亿用户遭受数据盗窃 G o o g l e   C h r o m e 浏 览 器 错 误 使 数 十 亿 用 户 遭 受 数 据 盗 窃 O t s 安 全   2 0 2 0 - 0 8 - 1 2 该 漏 洞 使 攻 击 者 可 以 绕 过 内 容 安 全 策 略 （ C S P ） 保 护 ， 并 从 网 站 访 问 者 那 里 窃 取 数 据 。 谷 歌 基 于 C h r o m i u m 的 浏 览 器 中 的 漏 洞 将 使 攻 击 者 可 以 绕 过 网 站 上 的 内 容 安 全 策 略 （ C S P ） ， 从 而 窃 取 数 据 并 执 行 流 氓 代 码 。 据 P e r i m e t e r X 网 络 安 全 研 究 人 员 G a l   W e i z m a n 称 ， 该 漏 洞 （ C V E - 2 0 2 0 - 6 5 1 9 ） 可 在 W i n d o w s ， M a c 和 A n d r o i d 的 C h r o m e ， O p e r a 和 E d g e 中 找 到 – 可 能 影 响 数 十 亿 网 络 用 户 。 C h r o m e 版 本 7 3 （ 2 0 1 9 年 3 月 ） 到 8 3 版 本 （ 8 4 已 在 7 月 发 布 并 修 复 了 该 问 题 ） 受 到 影 响 。 C S P 是 一 种 W e b 标 准 ， 旨 在 阻 止 某 些 类 型 的 攻 击 ， 包 括 跨 站 点 脚 本 （ X S S ） 和 数 据 注 入 攻 击 。 C S P 允 许 W e b 管 理 员 指 定 浏 览 器 应 视 为 可 执 行 脚 本 有 效 来 源 的 域 。 然 后 ， 与 C S P 兼 容 的 浏 览 器 将 仅 执 行 从 这 些 域 接 收 的 源 文 件 中 加 载 的 脚 本 。 “   C S P 是 网 站 所 有 者 用 来 执 行 数 据 安 全 策 略 以 防 止 在 其 网 站 上 执 行 恶 意 影 子 代 码 的 主 要 方 法 ， 因 此 当 绕 过 浏 览 器 执 行 时 ， 个 人 用 户 数 据 将 面 临 风 险 ， ”   W e i z m a n   在 发 布 的 研 究 报 告 中 解 释 说 。 星 期 一 。 研 究 人 员 指 出 ， 大 多 数 网 站 都 使 用 C S P ， 包 括 E S P N ， F a c e b o o k ， G m a i l ， I n s t a g r a m ， T i k T o k ， W h a t s A p p ， W e l l s   F a r g o 和 Z o o m 等 互 联 网 巨 头 。 一 些 著 名 的 名 称 不 受 影 响 ， 包 括 G i t H u b ， G o o g l e   P l a y 商 店 ， L i n k e d I n ， P a y P a l ， T w i t t e r ， Y a h o o 的 登 录 页 面 和 Y a n d e x 。 要 利 用 此 漏 洞 ， 攻 击 者 首 先 需 要 （ 通 过 暴 力 破 解 密 码 或 其 他 方 法 ） 访 问 W e b 服 务 器 ， 以 便 能 够 修 改 其 使 用 的 J a v a S c r i p t 代 码 。 然 后 ， 攻 击 者 可 以 在 J a v a S c r i p t 中 添 加 f r a m e - s r c 或 c h i l d - s r c 指 令 ， 以 允 许 注 入 的 代 码 加 载 并 执 行 它 ， 从 而 绕 过 C S P 强 制 执 行 ， 从 而 绕 过 站 点 的 策 略 ， W e i z m a n 解 释 说 。 由 于 该 错 误 的 验 证 后 方 面 ， 它 被 列 为 中 等 严 重 性 问 题 （ 在 C v S S 等 级 中 ， 十 分 之 六 ） 。 但 是 ， 由 于 它 影 响 到 C S P 的 执 行 ， 因 此 具 有 广 泛 的 意 义 。 ”   W e i z m a n 说 道 ， 并 将 其 与 安 全 带 ， 安 全 气 囊 和 碰 撞 传 感 器 存 在 的 问 题 进 行 了 比 较 。
研 究 人 员 说 ： “   [ 由 于 ] 对 安 全 性 的 认 识 提 高 ， 当 设 备 出 现 故 障 时 ， 在 事 故 中 造 成 的 损 害 要 严 重 得 多 。 ”   “ 以 类 似 的 方 式 ， 网 站 开 发 人 员 可 以 允 许 第 三 方 脚 本 向 其 付 款 页 面 添 加 功 能 ， 例 如 ， 知 道 C S P 将 限 制 对 敏 感 信 息 的 访 问 。 因 此 ， 当 C S P 发 生 故 障 时 ， 依 赖 该 站 点 的 站 点 的 风 险 可 能 会 比 该 站 点 从 未 拥 有 C S P 时 要 高 。 该 漏 洞 已 在 C h r o m e 浏 览 器 中 存 在 超 过 一 年 ， 但 未 得 到 修 复 ， 因 此 W e i z m a n 警 告 说 ， 该 漏 洞 的 全 部 影 响 尚 不 为 人 所 知 ： 并 出 于 邪 恶 目 的 将 个 人 身 份 信 息 （ P I I ） 泄 露 出 去 。 ” 用 户 应 将 其 浏 览 器 更 新 到 最 新 版 本 ， 以 免 遭 受 攻 击 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理