Google Chrome

  • Бъг в Google Chrome V8 позволява отдалечено изпълнение на код

    Уязвимост CVE-2021-21227, засягаща V8 (JavaScript енджина на Google Chrome) може да позволи дистанционно изпълнение на код (RCE) в браузъра ви.

    Сам по себе си, проблемът не засяга други програми, данни и приложения на компютъра ви, освен ако не се обвърже с други уязвимости – тогава може да нанесе поражения и извън браузъра.

    В новата версия Chrome 90 са закърпени девет уязвимости, включително друг проблем с V8. Очакват се актуализации.

  • Разширение на DuckDuckGo за Google Chrome блокира FLoC

    Google Chrome използва FLoC (Federated Learning of Cohorts) за анализиране на потребителската активност във всеки уебсайт. Наскоро стана известно, че компанията тества експерименталната функция сред 0,5% от потребителите на Chrome в избрани региони, без тяхно съгласие.

    Конкурентната търсачката DuckDuckGo обаче е намерила начин да блокира това проследяване – чрез специално създадено разширение за Google Chrome. То автоматично блокира активността на FLoC на всеки уебсайт, за да защити поверителността на потребителите.

    Имате възможност напълно да избегнете наблюдението на FLoC, като използвате търсачката или разширението на DuckDuckGo.

  • Зловредно разширение в Google Chrome може да открадне ваши ценни данни

    Хакери могат да злоупотребяват с функцията за синхронизиране на Google Chrome, за да изпращат команди до заразени браузъри и да крадат данни от заразени системи, заобикаляйки традиционните защитни стени и други мрежови защити.

    Синхронизирането на Chrome е функция на уеб браузъра, която съхранява копия на потребителски отметки, история на сърфиране, пароли и настройки на браузъра. Използва се за синхронизиране на данните между различните ви устройства, така че те винаги да имат достъп до актуалните данни, където и да отидете.

    Хърватският изследовател Боян Здраня е открил, по време на разследване на инцидент, че злонамерено разширение на Chrome злоупотребява с функцията за синхронизиране: При комуникация със сървър за отдалечено управление (C&C) се използва за извличане на данни от заразени браузъри.

    В случая, разследван от Здраня, нападателите са получили достъп до компютъра на жертвата и тъй като данните, които са искали да откраднат, са били в облачен акаунт, те са изтеглили разширение за Chrome на компютъра и са го заредили чрез режима за разработчици на браузъра.

    Именно разширението, което се представя като добавка за сигурност от разработчика на Forcepoint, съдържа злонамерен код, който злоупотребява с функцията за синхронизиране на Chrome и позволява на нападателите да контролират заразения браузър.

    Злонамерената добавка помага на нападателите да създадат текстово-базирано поле за съхраняване на ключове с маркери, което впоследствие да бъде синхронизирано с облачните сървъри на Google. След това е достатъчно да се влезе със същия акаунт от Google в друг браузър Chrome и с инфраструктурата на Google с злоупотребено.

    В ключовото поле може да са съхраняват данни, събрани от зловредното разширение за заразения браузър (потребителски имена, пароли, криптографски ключове и др.) или команди, които нападателят иска разширението да изпълни на заразената работна станция.

    По този начин разширението може да се използва като канал за ексфилтрация от вътрешни корпоративни мрежи до копие на браузъра Chrome на атакуващия или като начин за контрол на заразения браузър отдалечено, заобикаляйки корпоративните защитни стени.

    Тъй като откраднатото съдържание или последващите команди се изпращат чрез инфраструктурата на Chrome, нито една от тези операции няма да бъде проверена или блокирана в повечето корпоративни мрежи, където на браузъра Chrome обикновено е разрешено да работи и да предава данни безпрепятствено.

    Внимание!

    Ако планирате да блокирате достъпа до client4.google.com имайте предвид, че това е много важен уебсайт за Chrome, който се използва и за проверка дали Chrome е свързан с интернет (наред с други функции).

    Вместо това, можете да използвате корпоративните функции на Chrome и поддръжката на груповите политики, за да блокирате и контролирате какви разширения могат да бъдат инсталирани в браузъра.

  • Ъпдейтнете вашия Google Chrome сега – и спрете една от най-сериозните му уязвимости

    Ъпгрейднете вашия Google Chrome или всеки друг Chromium-базиран браузър веднага. Съветът идва от директора по сигурността на Google Джъстин Шух, след като от компанията потвърдиха съществуването на една от най-сериозните експлоатирани уязвимости в браузъра, носеща името CVE-2019-5786.

    Какъв е проблема

    Накратко, уязвимостта позволява придобиването на администраторски права върху атакуваната машина след като атакуващите са модифицирали данни в паметта на устройството. Иначе казано – използването на уязвимостта може да доведе до превземането на компютъра и злоупотребата с него, източване на информация и т.н.

    Уязвимостта засяга FileReader, приложно-програмен интерфейс (API), включен в браузъра, който  позволява на уеб приложения да четата съдържанието на файлове, съхранявани на харддиска на потребителя. Тя е разкрита в края на февруари.

    Кои са засегнатите браузъри

    Освен Google Chrome, засегнати са и всички други браузъри, базирани на Chromium, сред които са:

    • Opera
    • Vivaldi
    • Brave
    • Blisk
    • Colibri
    • Epic Browser
    • Iron Browser
    • и др.

    Какво да направите оттук нататък?

    Най-просто казано: ъпгрейднете своя Chrome до версия 72.0.3626.121 още сега, докато четете този материал.

    Ако не сте включили автоматичните ъпдейти, следвате стъпките по-долу или тук:

    • Отворете Chrome на компютъра си.
    • Горе вдясно кликнете върху „Още“ Още.
    • Кликнете върху Актуализиране на Google Chrome. Ако не виждате този бутон, това означава, че вече разполагате с най-новата версия.
    • Кликнете върху Стартиране отново.
  • Microsoft дава награда до 100 000 USD за открити бъгове в системи за автентикация

    Microsoft обнови своята bug bounty програма (система, която предлага заплащане на потребители, които открият уязвимости в продуктите и услугите на компанията). Наградата, която софтуерният гигант е склонен да плати за открита пробойна в системите си за работа с лични данни, е до 100 000 USD – затова, запретвайте ръкави и започвайте да търсите.

    Кои услуги обхваща новата програма?

    От Microsoft коментират, че са инвестирали значителни средства в създаването, имплементирането и подобряването на системите на компанията, които работят с автентикацията и личните данни на потребителите на услугите ѝ. Целта – да се въведат мерки като сигурни средства за автентикация и логин, сигурност на API-тата на компанията и свеждане до минимум на рисковете от инфраструктурна гледна точка.

    Новата Microsoft Identity Bounty Program засяга Microsoft Account и Azure Active Directory, както и някои имплементации на OpenID (пълен списък – тук). Наградите, които обещава компанията, са между 500 и 100,00 USD – в зависимост от сериозността на откритата уязвимост.

    Критерии за участие?

    За да кандидатствате, трябва да отговаряте на следните критерии:

    • Откриете уникален и незасичан критичен или важен недостатък в услугите на Microsoft за автентикация
    • Откриете уникален и незасичан недостатък, който води до възможност за кражба на профил в Microsoft или в Azure Active Directory.
    • Откриете уникален и незасичан недостатък в изброените OpenID стандарти
    • Може да изпращате уязвимости за всяка версия на приложението Microsoft Authenticator, но възнаграждения се заплащат само, ако уязвимостта засяга най-новата му достъпна публична версия.
    • Включите описание на проблема, който сте открилии кратки стъпки за възпроизвеждането му, които лесно се разбират
    • Уточните какво точно е въздействието на уязвимостта върху засегнатата система
    • Опишете вектор на атака, ако не е очевиден.

    Уязвимостта трябва да засяга и някой от следните инструменти за автентикация:

    • windows.net
    • microsoftonline.com
    • live.com
    • live.com
    • windowsazure.com
    • activedirectory.windowsazure.com
    • activedirectory.windowsazure.com
    • office.com
    • microsoftonline.com
    • Microsoft Authenticator за iOS и Android

    Кой друг дава награди?

    Или по-точно – кой не дава. Най-високо за момента официално плащат от Microsoft (максималната награда по другите  bug bounty програми на компанията стига до 200 000 USD). А Facebook дори не са сложили ограничение за максималната награда…

    Ето част от другите по-известни технологични гиганти и наградите от тях:

    • Intel: между 500 и 30 000 USD (колко ли е платено на откривателите на Spectre и Meltdown?)
    • Yahoo: до 15 000 USD
    • Snapchat: между 2 000 и 15 000 USD
    • Cisco: между 100 и 2 500 USD
    • Dropbox: между 12 167 и 32 768 USD
    • Apple: до 200 000 USD
    • Facebook: от 500 USD, без ограничение в максималния праг
    • Google: между 300 и 31 337 USD
    • Mozilla: между 500 и 5 000 USD
    • Twitter: между 140 и 15 000 USD
    • PayPal: между 50 и 10 000 USD
    • Uber: до 10 000 USD
    • LinkedIn: не са оповестили нито минимум, нито максимум

    Какво чакате още, търсете!

    Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.

  • Chrome Cleanup ще защитава потребителите на Chrome от нежелани приложения

    Последен ъпдейт на 28 юни 2018 в 01:33 ч.

    Chrome Cleanup е най-новото решение на Google в борбата с потенциално опасни сайтове, приложения и други нежелани и потенциално опасни елементи на интернет.

    Разширението е създадено от ESET и е достъпно в най-новата версия на браузъра или да може да бъде свалено и инсталирано.

    Част от функционалностите на Chrome Cleanup са предупреждаване за потенциални заплахи и опити за инсталиране на нежелан софтуер и премахването на вече инсталирани нежелани приложения. Пълна информация може да намерите в поста в блога на Google тук.

    Chrome Cleanup работи във фонов режим, без да прекъсва или забавя работата на потребителя.

    Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Back to top button