Ein Browser Chrome Verwundbarkeit unter der CVE-2018-6177 bekannten Kennung, vor kurzem entdeckt von Imperva Forscher Ron Masas, wurde gerade von Google gepatcht. Die Sicherheitslücke könnte ein Angreifer auf sensible Daten von Websites mit Audio- oder Video-HTML-Tags abrufen.
Technische Daten von CVE-2018-6177
In seiner Entdeckung, Volk „Konnte die Video / Audio-html5-Tags verwenden, um eine ziemlich gute Schätzung eines Kreuzes Herkunft Ressourcengröße zu erhalten, da es keine Validierung auf dem Ressourceninhaltstyp ist, ist es möglich, jede Ressource zu schätzen".
Die Forscher entdeckten auch, dass, von Engineering-Websites eine diffеrent Antwortgröße in Abhängigkeit von den aktuell angemeldeten Benutzereigenschaften zurückzukehren, es ist möglich, diese Methode zu verwenden, um wertvolle Informationen zu extrahieren:
Zum Beispiel, wenn eine Social-Networking-Website zuläßt, dass seine Nutzer öffentliche Beiträge zu einer bestimmten Zielgruppe schaffen, sagen wir, nur für Menschen im Alter von 24. Ein Angreifer kann mehrere Beiträge für jedes Alter erstellen; Dann mit versteckten Video-Tags er jede Ressource anfordern könnte; da mit dieser Methode geben Sie eine Schätzung der Ressource Größe wäre es möglich, dass ein Angreifer die aktuell angemeldeten Benutzer Social-Networking-Website genaue Alter in Sekunden zu extrahieren, Der Forscher sagte.
Wie wird CVE-2018-6177 Exploited
CVE-2018-6177 kann in älteren Versionen von Chrome genutzt werden. Exploit ist möglich, in Fällen, in denen ein Angreifer erfolgreich Tricks ein potenzielles Opfer eine manipulierte Website zu besuchen. Wie die Forscher erklärt, ein typisches Angriffsszenario würde bösartigen Code erfordern, die Inhalte von legitimen Websites in Audio- und Video-HTML-Tags lädt.
Dies geschieht in der Regel über Malvertising Techniken oder über Schwachstellen auf legitime Websites, die es Angreifern ermöglichen, Schadcode einschleusen und ausführen. Die zweite Art von Angriff erfolgt mit Hilfe der gespeicherten Cross-Site-Scripting-Fehler (XSS).
Zum Glück, der Fehler ist am Ende Juli festgelegt mit der Veröffentlichung von Chrome v68.0.3440.75 bereits.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: