资讯公告
  • 你的位置:
  • 首页
  • >
  • 资讯公告
  • >
  • 安全
  • >
  • Google Chrome中的漏洞使黑客可以绕过内容安全策略(CSP保护)
Google Chrome中的漏洞使黑客可以绕过内容安全策略(CSP保护)
发布时间:2020-08-28 发布者:域风网

如果您尚未在计算机上更新Chrome,Opera或Micriosodt Edge浏览器的最新更新,请立即并尽快进行更新!


网络安全专家周一在基于Chromium的网络浏览器中披露了零日漏洞的详细信息。该漏洞针对Windows,Mac和Android,并且可能允许攻击者从Chrome 73开始完全绕过内容隐私政策(CSP)规则。


被发现为 CVE-2020-6519(CVSS系统得分为6.5 / 10的漏洞等级),该漏洞源自黑客通过CSP导致任意恶意代码执行。在被黑的网站上。


根据PerimeterX,一些最受欢迎的网站,包括Facebook,Wells Fargo,Zoom,Gmail,WhatsApp,Investopedia,ESPN,Roblox,Indeed,TikTok,Instagram,Blogger和Quora容易被CSP忽略,这有助于黑客入侵。


有趣的是,似乎类似的漏洞CVE-2020-6519于一年多前被腾讯安全宣武实验室警告过,距2019年3月Chrome 73发布仅一个月。但是,直到PerimeterX在今年三月初报告此问题后,该问题才得以解决。


向Google透露有关CVE-2020-6519的信息后,Chrome的开发人员团队正式启动的Chrome 84更新(版本84.0.4147.89)中发布了该漏洞的补丁。用户在上个月的7月14日。


CSP(内容安全策略)是附加的安全层,它可以检测和缓解多种类型的攻击,包括跨站点脚本  (XSS)和数据注入攻击。根据CSP法规,网站可以要求受害者的浏览器执行某些类型的检查,目的是防止专门编写的代码行劫持浏览器的信誉和成功。从服务器接收内容。 


由于CSP是用户用来执行数据安全策略并阻止执行恶意脚本的主要方法,因此一旦传递CSP用户数据可能会带来很高的风险。 。


仅当执行指定了浏览器认为可执行脚本有效的域,然后让与CSP兼容的浏览器仅执行从以下位置接收的脚本中的加载脚本时,才会发生这种情况允许使用域,并忽略所有其他域。


腾讯和PerimeterX发现的漏洞通过播放HTML iframe结构的“ src”标签中的恶意JavaScript代码,破坏了网站的CSP配置。


应当注意,未发现该网站(例如Twitter,Github,LinkedIn,Google Play商店,Yahoo登录页面,PayPal和Yandex)具有此漏洞,因为使用Nonce(数字已使用一次-仅使用一次的数字)或哈希(哈希函数)来执行脚本文件。


“ Chrome的CSP执行机制中存在缺陷并不意味着该网站已受到威胁,因为攻击者还需要管理权限才能从该网站调用恶意脚本(这就是原因)为什么将CVE-2020-6519列为中等严重性漏洞)”-根据PerimeterX员工Gal Weizman 所说。


尽管CVE-2020-6519的危险尚未得到充分利用,但用户需要将其浏览器更新到最新版本,以防止可能的设备被黑客入侵。此外,还建议Web开发人员使用CSP的Nonce和Hash方法来增强安全性。

购物车
业务咨询:
售后服务: