[Warning] Phát hiện lỗ hổng nghiêm trọng trong tiện ích mở rộng Evernote trên Google Chrome

Các nhà nghiên cứu bảo mật vừa phát hiện một lỗ hổng nghiêm trọng trong tiện ích mở rộng Evernote trên Google Chrome. Lỗ hổng cho phép tin tặc chiếm quyền điều khiển trình duyệt và đánh cắp thông tin nhạy cảm từ bất kỳ website nào người dùng truy cập.

​

Evernote là dịch vụ phổ biến hỗ trợ người dùng ghi note và sắp xếp danh sách công việc cần làm. Trên 4.610.000 người dùng đã sử dụng tiện ích Evernote Web Clipper trên trình duyệt Chrome.

Lỗ hổng CVE-2019-12592 nằm trong cách thức Evernote Web Clipper tương tác với cácwebsite, iframe (khung nội tuyến) và lây nhiễm script. Kết quả, chính sách an ninh SOP (same-origin policy) và cơ chế cách ly tên miền trên Chrome bị phá vỡ.

Theo chuyên gia phát hiện lỗ hổng Guardio, kẻ tấn công có thể thực thi mã tùy ý trên trình duyệt người dùng, từ đó thực hiện các thao tác trên hệ thống như một người dùng thực sự, hoặc chiếm quyền truy cập vào những thông tin nhạy cảm liên quan đến các dịch vụ hoặc trang web bên thứ ba, bao gồm thông tin đăng nhập, thông tin tài chính, các trao đổi trên các kênh truyền thông xã hội, email cá nhân…

Trong clip PoC bên dưới là cách thức lây nhiễm một payload tùy chỉnh vào website mục tiêu và đánh cắp cookies, thông tin đăng nhập cùng các thông tin riêng tư khác của người dùng.

​

Dù các tiện ích mở rộng luôn có nhiều tính năng hữu ích đối với người dùng, nhưng việc đưa thêm tiện ích của một bên thứ 3 vẫn mang lại nhiều rủi ro hơn mọi người nghĩ.

Vì các tiện ích mở rộng chạy trên trình duyệt web thường yêu cầu sự cho phép để thực hiện truy cập mạng và thay đổi nội dung trang web người dùng ghé thăm, tạo ra nguy cơ hơn về tính bảo mật và riêng tư. Điều này sẽ không quá quan trọng nếu người dùng cài đặt các tiện ích này từ chính các cửa hàng của Firefox hoặc Chrome.

Nhóm của Guardio đã thông báo về lỗ hổng này cho Evernote và một bản vá đã được phát hành, cập nhật trong phiên bản Evernote Web Clipper cho người dùng Chrome.

Theo The Hacker News