Chrome浏览器CSP漏洞导致数十亿用户面临数据被盗风险

摘要:

Threat Post 报道称:基于 Chromium 内核的浏览器被曝存在一个可被绕过的内容安全策略(简称 CSP)漏洞,导致数十亿用户易被攻击者窃取数据和执行恶意代码。PerimeterX 网络安全研究人员 Gal Weizman 指出,该漏洞(CVE-2020-6519)可在 Windows、Mac 和 Android 版 Chrome 浏览器,以及 Opera 和 Edge 中找到。

访问:

阿里云推出高校特惠专场:0元体验入门云计算 快速部署创业项目

(来自:PerimeterX

如果你仍在使用 2019 年 3 月发布的 Chrome 73、以及 2020 年 7 月前的 Chrome 83,还请尽快更新至已修复 CVE-2020-6519 漏洞的 Chrome 84 。

据悉,作为一项 Web 标准,内容安全策略(CSP)旨在阻止某些类型的攻击,比如跨站脚本(XSS)和数据注入(data-injection)。

CSP 允许 Web 管理员指定浏览器可执行脚本的有效源范围,以便兼容该标准的浏览器仅执行可信来源的脚本加载操作。

浏览器易受攻击,但网站并不这样。

Weizman 在周一发布的研究报告中指出:“CSP 是网站所有者用于执行数据安全策略、以防止在其网站上执行恶意影子代码的主要方法,因而当其绕过浏览器时,个人用户的数据就面临着风险”。

目前大多数网站都已事实 CSP 内容安全策略,包括大家熟知的 ESPN、Facebook、Gmail、Instagram、TikTok、WhatsApp、Wells Fargo 和 Zoom 等互联网巨头。

不过一些知名的站点得以幸免,包括 GitHub、谷歌 Play 商店、领英 LinkedIn、PayPal、Twitter、雅虎登录页面、以及 Yandex 。

要利用此漏洞,攻击者必须先通过暴力破解或其它方法来访问 Web 服务器,以便能够修改其 JavaScript 代码。

然后攻击者可以在 JavaScript 中添加 frame-src 或 child-src 指令,以允许注入代码并强制加载执行,从而绕过站点 CSP 内容安全策略的防护。

尽管该漏洞被 CvSS 认定为中等严重等级(6/10),但由于它会影响 CSP 的执行,因此具有了更广泛的意义。换言之,当设备不幸中招时,事故造成的损害将严重得多。

举个例子,若 CSP 措施得当,网站仍可限制对此类敏感信息的访问。但以类似的方式,恶意 Web 开发者可利用第三方脚本,向付款页面加注一些额外的功能。

更糟糕的是,这个漏洞已在 Chrome 浏览器中存在了一年以上,直到近日才得到彻底修复。因而 Weizman 警告称,该漏洞的全部影响尚不为人所知。

最后,为避免遭受此类攻击而导致个人身份信息(PII)等敏感数据泄露,还请大家立即将浏览器升级到最新版本。

访问:

Verisign - .com域名的守护者 为品牌代言

热门评论

>>共有0条评论,显示0
更多评论
阿里云域名特惠
created by ceallan