Ihneď si aktualizuj Chrome! Stačí len otvoriť podvodnú stránku a tvoje citlivé údaje sa môžu dostať do rúk hackerov
Bezpečnostní analytici upozorňujú na bezpečnostnú slabinu, ktorá cez Chrome necháva tvoj počítač zraniteľný.
Bezepčenostní analytici odhaľujú novú slabinu CVE-2025-4664, ktorá zasahuje prehliadače Chrome. Ohrozené sú všetky prehliadače staršie ako verzia 136.0.7103.113.
Ako informuje portál The Hacker News, slabina dovoľovala hackerom zaútočiť na diaľku a získať prístup k citlivým dátam cez špecificky navrhnutú HTML stránku. Slabinu a jej zneužívanie po prvýkrát odhalil bezpečnostný expert Vsevolod Kokorin a popísal ju na platforme X.
“Chrome sa líši od ostatných prehliadačov tým, že spracúva hlavičku Link pri požiadavkách na podzdroje. To môžu hackeri v prípade nebezpečnej URL zneužiť,” hovorí Kokorin.
Keď hackeri zadajú pri útoku špecifické parametre, môžu dokonca ukradnúť celý účet obete a získať z neho citlivé dáta. Zatiaľ nie je úplne jasné, v akej miere útok prebieha. Bezpečnostní analytici odhalili len pár prípadov útoku.
Ako útok prebieha?
Ide o útok, pri ktorom vzdialený útočník môže spôsobiť únik dát z iného pôvodu (cross-origin) prostredníctvom špeciálne vytvorenej HTML stránky. Tento typ útoku obchádza dôležitý bezpečnostný mechanizmus prehliadačov nazývaný „Same-Origin Policy“ (politika rovnakého pôvodu), ktorý má za normálnych okolností brániť webovým stránkam z jedného zdroja (napr. utocnik.com) v prístupe k dátam na stránkach z iného zdroja (napr. TvojaBanka.sk).
Ako prvé útočník objaví alebo využije existujúcu zraniteľnosť v softvéri webového prehliadača (v tomto prípade Chrome) alebo v konkrétnej webovej aplikácii. Táto zraniteľnosť umožňuje určitým spôsobom obísť politiku rovnakého pôvodu. Následne útočník vytvorí špeciálnu HTML stránku. Táto stránka obsahuje škodlivý kód (často JavaScript), ktorý je navrhnutý tak, aby využil identifikovanú zraniteľnosť. Útočník túto svoju škodlivú stránku umiestni na server, ktorý má pod kontrolou.
Neprehliadni
Ďalším krokom je prinútiť obeť, aby navštívila túto špeciálne pripravenú HTML stránku vo svojom webovom prehliadači. To sa môže stať rôznymi spôsobmi: obeť môže kliknúť na podvodný odkaz v e-maile (phishing), na sociálnej sieti, v chate, alebo môže byť na škodlivú stránku presmerovaná z inej, už kompromitovanej webovej stránky, prípadne prostredníctvom škodlivej reklamy (malvertising).
Po spustení škodlivej stránky
Keď prehliadač obete načíta útočníkovu škodlivú HTML stránku, spustí sa na nej pripravený škodlivý kód. Tento kód sa pokúsi komunikovať alebo interagovať s inou webovou stránkou (cieľovým webom, napríklad internet bankingom, e-mailovou schránkou, sociálnou sieťou), ku ktorej je obeť možno prihlásená alebo ktorá obsahuje citlivé dáta. Kvôli zraniteľnosti v prehliadači alebo cieľovej aplikácii sa škodlivému kódu z útočníkovej stránky podarí „nahliadnuť“ alebo získať dáta z cieľového webu, hoci by to za normálnych okolností nebolo možné.
Akonáhle škodlivý kód na útočníkovej stránke získa alebo odvodí požadované dáta z cieľového webu, odošle ich na server kontrolovaný útočníkom. To sa deje na pozadí, bez vedomia obete. Útočník tak získa prístup k citlivým informáciám, ako sú napríklad osobné údaje, prihlasovacie údaje, cookies (ktoré môžu obsahovať informácie o relácii), obsah súkromných správ, finančné informácie alebo iné dôverné dáta, ktoré mali zostať chránené.
Ďalšie slabiny
Tento rok bezpečnostní analytici pozorovali aj podstatne viac prípadov, kedy útočníci zasiahli obete pomocou nedôveryhodných rozšírení. Celkovo analýza trhu s prehliadačovými rozšíreniami odhalila, že množstvo z nich má prístup k citlivým dátam a môže tento prístup zneužiť.
Vidia napríklad tvoje cookies, heslá, obsah navštívenej stránky, informácie o prehliadaní a ďalšie citlivé dáta. K tomu sa viaže aj problém, že väčšina vývojárov rozšírení nemá známe meno. Nejde o veľké spoločnosti alebo známych vývojárov. V prípade týchto rozšírení poznáme len Gmail vývojára. Zároveň väčšina vývojárov publikovala len jedno rozšírenie.
Znamená to, že ak si stiahneš napríklad rozšírenie pre tmavý režim, je celkom možné, že ho vytvoril nejaký “Jožko Mrkvička” v obývačke tým, že dal invertovať farby zobrazené v prehliadači. Zároveň takéto rozšírenie musí mať prístup ku stránke, ktorú máš zobrazenú, teda vidí, čo sa tam nachádza. Viac o rizikách rozšírení nájdeš v tomto článku.
Komentáre