标签: Chrome

Chrome 用户请尽快更新:谷歌发现两个严重的零日漏洞

强烈建议:Chrome用户请尽快升级浏览器!在谷歌今天发布的紧急补丁程序中修复了两个严重的零日漏洞,而其中一个已经被黑客利用。Chrome安全小组表示,这两个漏洞均为use-after-free形式,允许黑客在受感染设备上执行任意代码。其中一个漏洞存在于浏览器的音频组件中,而另一个存在于PDFium库中。Windows、macOS和GNU/Linux三大平台版本均受影响。 互联网安全中心警告说:“在Google Chrome中发现了多个漏洞”,并表示CVE-2019-13720和CVE-2019-13721的严重等级都很高。在后续警告中写道:“这两个漏洞允许攻击者在浏览器中执行任意代码、获取敏感信息,绕过安全限制并执行未经授权的操作或导致拒绝服务情况”。 Google Chrome小组在博客中说,稳定版已经升级至78.0.3904.87,修复了这两个问题: 此更新包括2个安全修复程序。下面,我们重点介绍由外部研究人员提供的修复程序。请参阅Chrome安全性页面以获取更多信息。 [$7500] [1013868]高CVE-2019-13721:PDFium组件中的Use-after-free。由 banananapenguin在2019-10-12报道。 [$TBD] [1019226]高CVE-2019-13720:音频组件中的Use-after-free。卡巴斯基实验室的Anton Ivanov和Alexey Kulaev于2019-10-29报道 谷歌承认已经有黑客利用CVE-2019-13720漏洞向Chrome用户发起攻击。目前尚无法披露有关安全漏洞的详细信息。   (稿源:cnBeta,封面源自网络。)

俄罗斯黑客修改 Chrome 和 Firefox 浏览器安装程序以追踪用户

浏览器制造商正在实施一些功能,如HTTPS和TLS加密,以防止站点通过各种技术来跟踪用户。但是,世界各地黑客喜欢与安全专家和软件开发人员一起玩猫捉老鼠的游戏。来自俄罗斯一个特别臭名昭著的团体将计就计,他们在用户安装Web浏览器同时,即时修改这些Web浏览器,为加密流量添加所谓“指纹”功能,以实时跟踪用户和其使用的电脑。 卡巴斯基实验室(Kaspersky Labs)对这种秘密攻击的调查报告显示,黑客设法找到了一种修改Web浏览器的方法,从而使被设计为安全且私有的TLS流量将带有唯一的指纹,以识别用户及其使用的电脑。 这些黑客能够做到这一点的方法几乎令人恐惧。黑客修补了Google Chrome和Mozilla Firefox的安装程序,让浏览器运行时包括该特殊的指纹功能。卡巴斯基无法确定黑客如何以及何时进行修改,但是黑客可能会在用户从合法来源下载安装程序时立即进行修改。 对于某些黑客来说,这是一个相当高的技术要求,因为这意味着黑客需要黑入Internet服务提供商和其网络。但是,对于一个名为Tulsa的黑客组织而言,这可能并不那么困难。Tulsa组织因与俄罗斯政府有联系而闻名,并参与了几起针对ISP的黑客事件。奇怪的是,这种被称为Reductor的恶意软件并未真正用于解密用户的加密流量,因此,这可能是一种隐蔽地跟踪用户网络活动的方法。     (稿源:cnBeta,封面源自网络。)

谷歌发布 Chrome 紧急补丁 修复可执行任意代码的高危漏洞

面向Chrome用户,谷歌今天发布了一项紧急安全更新,修复了可以执行任意代码的漏洞。谷歌正向Windows、macOS和GNU/Linux平台上的Chrome浏览器进行推送,该更新标记为“urgent”(紧急),该漏洞允许黑客完全控制你的PC。 援引外媒Lifehacker报道,这个漏洞是由互联网安全中心(Center for Internet Security)发现的,并敦促用户立即更新谷歌浏览器。公告中写道 在谷歌Chrome浏览器中发现了一个漏洞,允许黑客执行任意代码。这个漏洞是Blink引擎中的一个use-after-free漏洞,如果用户访问或者重定向到某个特定网页就可以激活这个漏洞。 成功利用此漏洞可能允许攻击者在浏览器使用情境中执行任意代码,获取敏感信息,绕过安全限制并执行未经授权的操作,或导致拒绝服务条件。 根据与应用程序关联的权限,攻击者可以安装程序;查看,更改或删除数据;或创建具有完全用户权限的新帐户。 互联网安全中心向所有Chrome用户推荐以下内容,以确保他们不受此漏洞的影响。 立即升级使用谷歌稳定渠道的最新版本,以避免被这个漏洞利用。 以非特权用户(没有管理权限的用户)运行所有软件,以减少成功攻击的影响。 提醒用户不要访问不受信任的网站或关注由未知或不受信任的来源提供的链接。 告知用户有关电子邮件或附件中包含的超文本链接所构成的威胁,特别是来自不受信任的来源的威胁。 将最小权限原则应用于所有系统和服务。 谷歌已经发布了一个应该立即安装的补丁。即便如此,如果你是偏执狂,你可以前往菜单>帮助>关于谷歌浏览器,并验证是否安装了最新版本(76.0.3809.132)。谷歌还修复了一些漏洞,但已从“版本”页面中删除了相关信息。   (稿源:cnBeta,封面源自网络。)

“盗梦空间栏”,Chrome 移动版上的新型网络钓鱼

一种名为“盗梦空间栏”(Inception Bar)的新型网络钓鱼技术出现了,并被证实适用于 Chrome 移动版。 该方法允许黑客屏蔽 Chrome 移动版上的真实网址并显示虚假网址,并附带挂锁图标,以欺骗用户相信他们正在滚动的网页是合法且安全的。更糟糕的是,假 URL 也可以显示为带有交互式内容的动态栏。 开发人员 Jim Fisher 无意中发现这一方法,并在其个人博客进行实验,展示了它的工作方式。 在 Chrome 移动版中,当用户向下滑动页面时,浏览器会隐藏 URL 栏,为网页腾出更多空间。正因如此,网络钓鱼站点得以显示自己的虚假 URL 栏。 通常,当用户向上滚动时,Chrome 会重新显示网址栏。但黑客可以欺骗 Chrome,使真正的网址栏永远不会重新显示。 一旦 Chrome 隐藏了 URL 栏,整个页面内容都可以被移动到带有新元素overflow:scroll 的“滚动监狱”中。接下来,用户会以为他们在向上滑动页面,但事实上他们只是在“滚动监狱”中向上滚动,就像《盗梦空间》中的套环梦境一样。 虽然黑客可以使用 URL 栏的静态图像来掩盖真实的 URL,但他们甚至可以创建一个交互式 URL 栏,使其看起来更加可信。 目前为止,还没有关于恶意利用该方法造成破坏的报道。我们可以采取一些措施来保护自己免受“盗梦空间栏”的攻击: 在 Chrome 浏览器中访问网页时,可以锁定屏幕然后重新解锁。这时,被隐藏起来的真实 URL 会自动显示,如果网络钓鱼站点在起作用,用户将同时看到两个 URL 栏; 钓鱼栏右上角的选项卡数量通常显示不准确,留心检查已在不同选项卡中打开的网页数量,则可以发现异常; Chrome 的黑暗模式会将所有 UI 元素设置为黑色,而虚假的 URL 栏通常显示为白色,这也可在一定程度上帮助识别伪 URL 栏。 参考:Jim Fisher、gadgets360   (稿源:开源中国,封面源自网络。)

Google Chrome 被发现零日漏洞 可让黑客获取用户数据

谷歌浏览器Chrome中的零日漏洞允许黑客使用浏览器中加载的恶意PDF文档来获取个人数据。由EdgeSpot发现这项安全漏洞,已经在被黑客利用,谷歌官方修复方案只会在4月底发布。 当在专用的PDF阅读器(如AdobeReader)中打开时,PDF文档似乎不会泄漏任何个人信息。恶意代码似乎专门针对Google Chrome浏览器中的漏洞,在浏览器中打开这些恶意PDF,会触发到两个不同之一的出站流量,分别称为burpcollaborator.net和readnotify.com。 黑客通过此种方式可以获得的数据包括设备的IP地址、操作系统和Google Chrome版本,以及本地驱动器上PDF文件的路径等等。有趣的是,大部分安全产品无法实时检测到恶意的PDF文档,只有一些防病毒解决方案在扫描它们时才会触发警告。 目前避免此漏洞侵害的最简单方法是避免在Google Chrome浏览器中打开任何PDF文档,但是如果必须这样做,您应该远离来自不信任来源的文件。此外,在Google Chrome中打开PDF文档时,您可以暂时断开电脑与互联网的连接。     (稿源:cnBeta,封面源自网络。)

Chrome 70 即将发布,数千个网站或因安全证书受影响​​​​​​​

由于使用了旧的安全证书,互联网上的数千个网站将会在谷歌发布 Chrome 70 后受到影响 —— 访问这些网站的用户将会收到浏览器提示的安全警告。这是因为 Google 已放弃对赛门铁克在2016年6月之前发布的 HTTPS 安全证书的信任。 一年多前,当谷歌发现赛门铁克不正当地颁发安全证书时,谷歌方面就警告说它将放弃对来自赛门铁克受影响的批量证书的支持。简单来说,赛门铁克在2016年6月之前发布的安全证书都将不会受到 Chrome 70 的信任。因为谷歌早已在一年前就已公布时间表,所以 Web 开发者有一年多的时间来准备此更改。 安全研究员斯科特·赫尔姆(Scott Helme)在 Alexa 排名前 100 万个网站中发现超过 1000 个网站依然使用赛门铁克旧的安全证书,这些网站可能会受到谷歌推出 Chrome 70 的影响,其中包括一些来自印度和特拉维夫的知名政府网站。 据 TechCrunch 报道,除赛门铁克证书外,在2016年6月之前使用 Thawte, VeriSign, Equifax, GeoTrust 和 RapidSSL 颁发的证书的网站也将受到 Chrome 70 的影响。   稿源:开源中国,封面源自网络;

谷歌接受批评:新版 Chrome 恢复显示域名中的 www

日前,谷歌为庆祝 Chrome 浏览器10周年,发布了全新的 Chrome 69 正式版,带来了全新的 Material Design 等特性。不过,新版 Chrome 隐藏域名中的 www 遭到了用户批评,并认为会带来安全问题。 Chrome 69 隐藏了网址中的 HTTP/HTTPS,用户随后又发现 Chrome 69 还会隐藏网址中的 WWW,也就是 www.google.com 在地址栏显示的是 google.com。此举引发了争议。WWW 被 Chrome 视为是无关紧要的子域名。但 www.example.com 和 example.com 是有区别的,它们很可能是不同的网站,有着不同的 DNS 记录。Google 的做法被认为会带来安全问题。 对于用户的批评和担心,谷歌坦然接受,并对 Chrome 浏览器作出了更改,在9月12日发布的最新版 Chrome v69.0.3497.92 默认设置中,已经弃用了不再显示协议名称的功能,恢复显示域名中的 www。   稿源:开源中国,封面源自网络;

Chrome 中存在 Wi-Fi 漏洞,谷歌原本并不打算修复

网络安全和渗透测试咨询公司 SureCloud 的研究人员发现谷歌 Chrome 和 Opera 浏览器存在漏洞,可使 Wi-Fi 受到攻击。 研究人员表示,基于 Chrome 内核的浏览器可以保存 Wi-Fi 中路由器管理页面凭据并自动重新输入,以方便用户使用,而由于大多数家用路由器不使用加密通信进行后台管理,这使得研究人员能够利用这种自动凭证重新登录,达到窃取路由器登录凭据并使用它们捕获 Wi-Fi 密码(PSK)的目的。研究人员还提供了一段漏洞利用的演示视频:https://youtu.be/YW0drHztgJY 这个漏洞适用于任何基于 Chrome 内核 Chromium 的浏览器,例如 Chrome、Opera、Slimjet 与 Torch 等,通过明文 HTTP 提供管理页面的任何路由器都会受到此问题的影响。 研究人员早在 3 月 2 日就向 Google 的 Chromium 项目披露了该漏洞,但 Chromium 回复称浏览器功能按设计工作,并且不打算修复。 “安全性和便利性之间始终存在权衡,但我们的研究清楚地表明,存储登录凭据的 Web 浏览器中的功能正在使数以百万计的家庭和企业网络受到攻击“,SureCloud 的网络安全实践总监 Luke Potter 说:“我们认为这个设计问题需要在受影响的 Web 浏览器中修复,以防止漏洞被利用,造成用户损失。”对于谷歌不修复该漏洞的回复,他们也没办法。 而最新消息是,在前两天推出的 Chrome 69 中,谷歌已经修复了该漏洞。   稿源:开源中国,封面源自网络;

Cookie 机制问题多 Chrome 工程师提出改造方案

日前 Chrome 工程师 Mike West 发表了一篇文章提议改造 Cookie 标准,以强化 HTTP 状态管理。Mike 分析了目前 Cookie 存在的几个方面的问题,包括很难安全使用、浪费用户资源,以及隐私问题,通过它可以以令人惊讶的方式跟踪用户在网络上的活动。   关于浪费用户资源,Mike 解释,服务器可以为一个注册域名存储大量 Cookie,并且很多 Cookie 可以通过 HTTP 请求发送。例如 Chrome 允许为每一个域名存储大约 180 个 Cookie,相当于约 724kB 数据。在众多 Cookie 中,其请求头大小的中位数是 409 字节,但是其中却有 90% 有 1589 字节,95% 占了 2549 字节,99% 甚至达到了 4601 字节,另外有约 0.1% 的 Cookie 头非常大,超过了 10kB。如此滥用,效率低下。 隐私方面,众所周知 Cookie 可以用于身份验证,但它同时也可以用来悄悄跟踪用户的相关信息。 而关于安全使用的难处,Mike 列出了几条在开发中安全使用 Cookie 遇到的问题: Cookie 对 JavaScript 默认是可用的,这使得一次 XSS 可以获取持久凭证。虽然十年前引入了 HttpOnly 属性,目前也只有大概 8.31% 的人使用 Set-Cookie 进行相应设置。 默认情况下,Cookie 会被发送到非安全的源,这会导致凭据被盗。Secure 属性虽然可以标记安全的 Cookie 源,但目前只有大概 7.85% 的人使用 Set-Cookie 进行了设置。 Cookie 经常在请求发送者毫不知情的情况下被发送。SameSite 属性可以减少 CSRF 风险,但是目前只有大概 0.06% 的人使用 Set-Cookie 进行了设置。 Mike 认为,一方面 Cookie 采用的缓解安全问题的属性很差,Cookie 根本不符合我们决定对其它类型的 Web 可访问数据强制执行的安全边界。它们在给定的可注册域中流过源,它们忽略端口和方案,这意味着它们可以被网络攻击者轻易伪造,并且它们可以缩小到特定路径,这些特征使得它们难以推理,并制定激励措施来削弱平台其它部分的同源策略。 Mike 给出了一套新方案,他解释,用户代理可以通过为用户访问的每个安全源生成唯一的 256 位值来控制它代表用户表示的 HTTP 状态,此 Token 可以作为结构化 HTTP 请求头传递到源: Sec-HTTP-State:token = * J6BRKagRIECKdpbDLxtlNzmjKo8MXTjyMomIwMFMonM * 此标识符或多或少类似于客户端控制的 Cookie,但有一些值得注意的区别: 客户端控制 Token 的值,而不是服务器。 Token 只能用于网络层,而不能用于 JavaScript(包括类似网络的 JavaScript、例如 Service Workers)。 用户代理每个源只生成一个 256 位 Token,并且只将 Token 暴露给生成它的源。 不会为非安全源生成或传递 Token。 默认情况下,Token 将与同一站点请求一起提供。 Token 一直存在,直到服务器、用户或用户代理重置为止。 在些基础上,将为开发人员提供一些可通过 Sec-HTTP-State-Options HTTP 响应头触发的控制点,有如下选项: 1、某些服务器需要跨站点访问其 Token,其它服务器可能希望将交付范围缩小到同源请求,服务器可以指定任一选项: Sec-HTTP-State-Options: ..., delivery=cross-site, ... 或者: Sec-HTTP-State-Options: ..., delivery=same-origin, ... 2、某些服务器希望限制 Token 的生命周期,可以允许它们设置 TTL(以秒为单位): Sec-HTTP-State-Options: ..., ttl=3600, ... 时间到期后,Token 的值将自动重置。同时服务器也可能希望明确触发 Token 的重置行为(例如,在注销时),这可以通过设置 TTL 为 0 来实现: Sec-HTTP-State-Options: ..., ttl=0, ... 在任何一种情况下,都可以向当前运行的页面通知用户的状态变化,以便执行清理操作。当发生重置时,用户代理可以将消息发送到名为 http-state-reset 的源的 BroadcastChannel(并且可能唤醒源的 Service Worker 以响应用户驱动的重置): let resetChannel = new BroadcastChannel('http-state-reset'));resetChannel.onmessage = e => { /* Do exciting cleanup here. */ }; 3、对于某些服务器,客户端生成的 Token 足以维持状态,它们可以将其视为不透明的会话标识符,并将用户的状态绑定到服务器端。其它服务器需要额外的保证,他们可以信任 Token 的出处,为此,服务器可以生成唯一密钥,将其与服务器上的会话标识符相关联,并通过 HTTP 响应头将其传递给客户端: Sec-HTTP-State-Options: ..., key=*ZH0GxtBMWA...nJudhZ8dtz*, ... 客户端将存储该密钥,并使用它来生成某些数据集的签名,从而降低 Token 被捕获的风险: Sec-HTTP-State: token=*J6BRKa...MonM*, sig=*(HMAC-SHA265(key, token+metadata))* Mike 同时也表示,该方案并不是一个完全与 Cookie 不同的新东西,并不是要在目前替换掉 Cookie,虽然弃用 Cookie 是应该的,但是当下该方案只是提出了一种在 Cookie 同时存在的情况下也能发挥作用的补充机制。     稿源:开源中国,封面源自网络;

Chrome 隐身模式可能没有你想得那么能保护个人隐私

据外媒报道,大多数用户在用Chrome上网时都对它的隐身(Incognito)模式抱着合理的期待,但来自行业组织Digital Content Next委托的一项研究结果却呈现了不一样的情况。范德比尔特大学计算机科学教授、研究论文作者Douglas Schmidt指出,如果用户是通过像Gmail等这样的谷歌服务登录,那么从理论上来说即便是在隐身模式下,谷歌还是能通过cookies将用户的浏览情况跟其身份联系起来。 不过如果用户是在登录谷歌账号之前就启动了隐身模式那么跟踪数据就会被清除。 然而这份报告并没有明确指出谷歌是否需要为此负责,但从技术层面上来讲却是可以的。对此,谷歌很快反驳了这种说法。 在一封提供给AdAge的邮件中,谷歌发言人表示并没有把隐身浏览跟用户登录已经退出隐身模式的账号关联起来。另外他还表示,他们的广告系统不会知道Chrome何时处于隐身模式,同时也不知道其他浏览器何时处于类似模式。 这位发言人补充称,这份报告是由一个专业的DC游说团体委托由正与谷歌进行诉讼的一名甲骨文证人撰写。“因此,它包含大量误导信息也就不足为奇了。”   稿源:cnBeta,封面源自网络;