Zero
Siti web dannosi che possono sfruttare estensione per il browser Api per eseguire il codice all’interno del browser per rubare informazioni sensibili come i segnalibri, la cronologia di navigazione, e anche i cookie dell’utente.
Quest’ultimo, un utente malintenzionato di assumere il controllo di un utente attivo sessioni di login e l’accesso degli account sensibili, come caselle di posta elettronica, profili di social media, di lavoro o di conti.
Inoltre, le stesse Api di estensione può anche essere utilizzato per attivare il download di file dannosi e di salvarli sul dispositivo dell’utente, e di memorizzare e recuperare i dati in un estensione di memoria permanente, dati che possono poi essere utilizzati per tracciare gli utenti attraverso il web.
Questi tipi di attacchi non è teorico, ma hanno dimostrato in un documento accademico, pubblicato questo mese da Dolière Francesco Somé, ricercatore presso l’Università la Costa Azzurra, e con INRIA, un ricercatore francese istituto.
Somé creato uno strumento e testato più di 78.000 Chrome, Firefox, Opera e le estensioni. Attraverso i suoi sforzi, egli è stato in grado di identificare 197 estensioni esposti interno API di comunicazione interfacce per applicazioni web, permettendo a siti web malevoli un immediato ai dati memorizzati all’interno del browser di un utente, i dati che, in circostanze normali, solo l’estensione del proprio codice potuto raggiungere (quando correttamente i permessi sono stati ottenuti).
Immagine: Somé
Il ricercatore francese dice che è stato sorpreso dai risultati, come solo 15 (7.61%) 197 estensioni sono strumenti di sviluppo, una categoria di estensioni, che di solito hanno il pieno controllo di ciò che accade in un browser, e sarebbe stato di quelli che si aspettava più facile da sfruttare.
Circa il 55 per cento di tutte le estensioni vulnerabili aveva meno di 1.000 installazioni, ma oltre il 15% ha più di 10.000.
Immagine: Somé
Somé detto che ha avvisato i fornitori di browser sue scoperte prima di andare pubblico con il suo lavoro all’inizio di gennaio.
“Tutti i fornitori riconosciuto i problemi,” Somé, ha detto. “Firefox ha rimosso tutte le segnalato estensioni. Opera ha anche rimosso tutte le estensioni, ma i 2 che possono essere sfruttati per attivare il download.”
“Chrome anche riconosciuto il problema segnalato estensioni. Stiamo ancora discutendo con loro su possibili azioni da intraprendere: rimuovere o risolvere le estensioni,” ha detto.
Il ricercatore ha anche creato uno strumento che consente agli utenti di verificare se le estensioni anche contenere vulnerabili di Api che possono essere sfruttate da siti web dannosi. Lo strumento è basato sul web e ospitato in questa pagina. Per utilizzarlo, è necessario copiare e incollare il contenuto di un’estensione del manifesto.file json.
Una pagina che elenca le varie demo video è disponibile qui. Ulteriori dettagli su Somé lavoro sono disponibili in un documento di ricerca dal titolo “EmPoWeb: Potere di Applicazioni Web con Estensioni del Browser”, disponibile per il download in formato PDF da qui o qui.
Sarebbe molto pratico elenco di tutte le estensioni vulnerabili in questo articolo. I lettori possono trovare l’elenco delle estensioni vulnerabili nelle tabelle alla fine del sopra-linked documenti di ricerca.
Più browser copertura:
Come attivare e provare il nuovo Google Chrome dark mode su Windows 10
Firefox per rimuovere fuorviante pulsante dopo mesi di complaintsGoogle estensione di google Chrome che ruba carta di numeri ancora disponibili sul Web StoreGoogle Chrome built-in ad blocker per il roll-out in tutto il mondo nel luglio 9Firefox sarà finalmente risolto il fastidioso pagina jumpsGoogle Chrome nuova interfaccia utente è brutto, e le persone sono molto angryBrave è il browser predefinito sul oscuro HTC crypto-telefono CNETMozilla e Qualcomm svelare nativo per arm64 versione di Firefox per Windows 10 TechRepublic
Argomenti Correlati:
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati
0