• 简中
    • 繁中
  • 注册
  • 查看作者
  • Chrome浏览器CSP漏洞导致数十亿用户面临数据被盗风险

    Threat Post 报道称:
    基于 Chromium 内核的浏览器被曝存在一个可被绕过的内容安全策略(简称 CSP)漏洞,导致数十亿用户易被攻击者窃取数据和执行恶意代码。PerimeterX 网络安全研究人员 Gal Weizman 指出,该漏洞(CVE-2020-6519)可在 Windows、Mac 和 Android 版 Chrome 浏览器,以及 Opera 和 Edge 中找到。

    访问:

    阿里云福利专场 云服务器ECS低至102元/年

    Chrome浏览器CSP漏洞导致数十亿用户面临数据被盗风险

    (来自:PerimeterX)

    如果你仍在使用 2019 年 3 月发布的 Chrome 73、以及 2020 年 7 月前的 Chrome 83,还请尽快更新至已修复 CVE-2020-6519 漏洞的 Chrome 84 。

    据悉,作为一项 Web 标准,内容安全策略(CSP)旨在阻止某些类型的攻击,比如跨站脚本(XSS)和数据注入(data-injection)。

    CSP 允许 Web 管理员指定浏览器可执行脚本的有效源范围,以便兼容该标准的浏览器仅执行可信来源的脚本加载操作。

    Chrome浏览器CSP漏洞导致数十亿用户面临数据被盗风险

    浏览器易受攻击,但网站并不这样。

    Weizman 在周一发布的研究报告中指出:“CSP 是网站所有者用于执行数据安全策略、以防止在其网站上执行恶意影子代码的主要方法,因而当其绕过浏览器时,个人用户的数据就面临着风险”。

    目前大多数网站都已事实 CSP 内容安全策略,包括大家熟知的 ESPN、Facebook、Gmail、Instagram、TikTok、WhatsApp、Wells Fargo 和 Zoom 等互联网巨头。

    不过一些知名的站点得以幸免,包括 GitHub、谷歌 Play 商店、领英 LinkedIn、PayPal、Twitter、雅虎登录页面、以及 Yandex 。

    Chrome浏览器CSP漏洞导致数十亿用户面临数据被盗风险

    要利用此漏洞,攻击者必须先通过暴力破解或其它方法来访问 Web 服务器,以便能够修改其 JavaScript 代码。

    然后攻击者可以在 JavaScript 中添加 frame-src 或 child-src 指令,以允许注入代码并强制加载执行,从而绕过站点 CSP 内容安全策略的防护。

    尽管该漏洞被 CvSS 认定为中等严重等级(6/10),但由于它会影响 CSP 的执行,因此具有了更广泛的意义。换言之,当设备不幸中招时,事故造成的损害将严重得多。

    Chrome浏览器CSP漏洞导致数十亿用户面临数据被盗风险

    举个例子,若 CSP 措施得当,网站仍可限制对此类敏感信息的访问。但以类似的方式,恶意 Web 开发者可利用第三方脚本,向付款页面加注一些额外的功能。

    更糟糕的是,这个漏洞已在 Chrome 浏览器中存在了一年以上,直到近日才得到彻底修复。因而 Weizman 警告称,该漏洞的全部影响尚不为人所知。

    最后,为避免遭受此类攻击而导致个人身份信息(PII)等敏感数据泄露,还请大家立即将浏览器升级到最新版本。

    cnBeta.COM  2020-08-11 12:15:35

  • 0
  • 0
  • 0
  • 171
  • 请登录之后再进行评论

    登录
  • 任务
  • 发布
  • 偏好设置
  • 单栏布局 侧栏位置: