DDos
VIP Members
-
22/10/2013
-
524
-
2.191 bài viết
Lỗ hổng trong trình duyệt Google Chrome khiến hàng tỷ người dùng bị trộm dữ liệu
Một lỗ hổng trong các trình duyệt dựa trên Chromium của Google có thể cho phép tin tặc vượt qua cơ chế an ninh Content Security Policy (CSP) và lấy cắp dữ liệu từ những người truy cập trang web và thực thi mã giả mạo.
Theo nhà nghiên cứu an ninh mạng của PerimeterX, Gal Weizman, lỗ hổng (CVE-2020-6519) được tìm thấy trong trình duyệt Chrome, Opera và Edge, trên các nền tảng Windows, Mac và Android - có khả năng ảnh hưởng đến hàng tỷ người dùng web. Các phiên bản từ Chrome 73 (tháng 3 năm 2019) đến 83 bị ảnh hưởng bởi lỗ hổng này (phiên bản Chrome 84 được phát hành vào tháng 7 đã vá lỗ hổng).
CSP là một tiêu chuẩn web nhằm ngăn chặn một số loại tấn công nhất định, bao gồm tấn công kịch bản chéo trang (XSS) và tấn công tiêm dữ liệu độc hại. CSP cho phép quản trị viên web chỉ định các tên miền mà trình duyệt coi là nguồn hợp lệ của các tập lệnh thực thi. Sau đó, một trình duyệt tương thích với CSP sẽ chỉ thực thi các tập lệnh được tải trong các tệp nguồn nhận được từ các tên miền đó.
CSP rất phổ biến trên các trang web như ESPN, Facebook, Gmail, Instagram, TikTok, WhatsApp, Wells Fargo và Zoom.
Để khai thác lỗ hổng, trước tiên kẻ tấn công cần có quyền truy cập vào máy chủ web (thông qua tấn công dò mật khẩu hoặc một phương pháp khác), sau đó, sửa mã JavaScript mà trang web sử dụng. Tiếp theo, kẻ tấn công có thể thêm chỉ thị frame-src hoặc con-src trong JavaScript để cho phép mã độc được đưa vào nguồn hợp lệ của các tập lệnh thực thi và do đó vượt qua chính sách CSP ban đầu của trang web.
Do lỗ hổng này nằm ở giai đoạn sau của quá trình khai thác (post-exploition) nên CVE-2020-6519 được xếp hạng có mức độ nghiêm trọng trung bình (6,5 trên 10 theo thang điểm CvSS). Tuy nhiên, vì ảnh hưởng đến việc thực thi CSP nên nó sẽ gây tác động lớn.
Lỗ hổng an ninh txuất hiện trong trình duyệt Chrome hơn một năm trước khi được vá, vì vậy Weizman cảnh báo tác động của lỗ hổng này vẫn chưa được biết đến: “Tin tặc dễ dàng trích xuất dữ liệu thông tin người dùng. Rất có thể chúng ta sẽ thấy các vi phạm dữ liệu trong những tháng tới là hậu quả của việc khai thác lỗ hổng này”.
Để đảm bảo an toàn, người dùng cần cập nhật trình duyệt lên phiên bản mới nhất.
Theo nhà nghiên cứu an ninh mạng của PerimeterX, Gal Weizman, lỗ hổng (CVE-2020-6519) được tìm thấy trong trình duyệt Chrome, Opera và Edge, trên các nền tảng Windows, Mac và Android - có khả năng ảnh hưởng đến hàng tỷ người dùng web. Các phiên bản từ Chrome 73 (tháng 3 năm 2019) đến 83 bị ảnh hưởng bởi lỗ hổng này (phiên bản Chrome 84 được phát hành vào tháng 7 đã vá lỗ hổng).
CSP là một tiêu chuẩn web nhằm ngăn chặn một số loại tấn công nhất định, bao gồm tấn công kịch bản chéo trang (XSS) và tấn công tiêm dữ liệu độc hại. CSP cho phép quản trị viên web chỉ định các tên miền mà trình duyệt coi là nguồn hợp lệ của các tập lệnh thực thi. Sau đó, một trình duyệt tương thích với CSP sẽ chỉ thực thi các tập lệnh được tải trong các tệp nguồn nhận được từ các tên miền đó.
CSP rất phổ biến trên các trang web như ESPN, Facebook, Gmail, Instagram, TikTok, WhatsApp, Wells Fargo và Zoom.
Để khai thác lỗ hổng, trước tiên kẻ tấn công cần có quyền truy cập vào máy chủ web (thông qua tấn công dò mật khẩu hoặc một phương pháp khác), sau đó, sửa mã JavaScript mà trang web sử dụng. Tiếp theo, kẻ tấn công có thể thêm chỉ thị frame-src hoặc con-src trong JavaScript để cho phép mã độc được đưa vào nguồn hợp lệ của các tập lệnh thực thi và do đó vượt qua chính sách CSP ban đầu của trang web.
Do lỗ hổng này nằm ở giai đoạn sau của quá trình khai thác (post-exploition) nên CVE-2020-6519 được xếp hạng có mức độ nghiêm trọng trung bình (6,5 trên 10 theo thang điểm CvSS). Tuy nhiên, vì ảnh hưởng đến việc thực thi CSP nên nó sẽ gây tác động lớn.
Lỗ hổng an ninh txuất hiện trong trình duyệt Chrome hơn một năm trước khi được vá, vì vậy Weizman cảnh báo tác động của lỗ hổng này vẫn chưa được biết đến: “Tin tặc dễ dàng trích xuất dữ liệu thông tin người dùng. Rất có thể chúng ta sẽ thấy các vi phạm dữ liệu trong những tháng tới là hậu quả của việc khai thác lỗ hổng này”.
Để đảm bảo an toàn, người dùng cần cập nhật trình duyệt lên phiên bản mới nhất.
Theo Threatpost
Chỉnh sửa lần cuối bởi người điều hành: