Chrome Bug：音频或视频成为窃取网络秘密的工具

近日发现 ， Chrome浏览器中的一个漏洞（已被修补），该漏洞允许攻击者通过音频或视频的HTML标记从其他网站检索敏感信息。

如果攻击者可以通过恶意广告（合法网站上嵌入广告中的恶意代码）或攻击者可以注入和执行的合法网站上的漏洞攻击恶意网站上的受害者，则可以利用旧版本Chrome中的漏洞利用此漏洞代码——例如通过存储的跨站点脚本（XSS）缺陷来进行。

Attack利用音频和视频的HTML标签

在今天早些时候发布并与Bleeping Computer共享的一篇文章中，Masas解释说，攻击场景需要恶意代码来加载来自音频和视频的HTML标签内合法站点的内容。

通过使用“进展”事件，Masas说他可以推断出他从外部网站获得的回复的大小，并猜测各种类型的信息。

在正常情况下，这是不可能的，因为CORS-Cross-Origin资源共享）——一种阻止站点从其他网站加载资源的浏览器安全功能，但是这种攻击绕过了CORS。

“从本质上讲，这个漏洞允许攻击者使用视频或音频标签来估计跨源资源的大小，”Masas今天通过电子邮件告诉Bleeping Computer。

攻击可以从其他站点检索敏感/受保护的数据

在他的测试中，他能够通过在公共Facebook帖子上激活“受众限制”设置来确定用户可能的年龄组和性别

“通过操纵像Facebook这样的网站以大或小的响应形式反映用户数据，它成为可能一致地提取有价值的数据”Masas告诉了我们。

但专门研究网络安全问题的安全研究员Mike Gualtieri表示，与从Facebook用户那里收集数据相比，攻击可以更有创意地使用。例如，通过定位企业后端，内部网和其他以企业为中心的应用程序。

“由企业IT定制的现成系统可能是这些类型攻击的最佳目标，因为攻击者可以学习系统内部，并可能影响系统的所有用户，”

Gualtieri在一次私人谈话中告诉的Bleeping Computer。

“通常情况下，基于登录用户，这些系统更加同质”他说，并补充说，攻击者可以准备攻击，专注于对存储在企业Web应用程序特定区域中的敏感数据进行exfiltrating。

API也处于危险之中

此外，Gualtieri认为攻击也可能成功对抗攻击者通常无法访问的API，但错误允许他们将请求转发。

“今天找到弱受保护的web-API的通信数据是非常可行的，”Gualtieri告诉我们。

“具有足够勤奋的攻击者可以通过登录用户计算出一组预期请求，并针对这些API响应。

“例如，假设一家假想的股票交易公司有一个暴露的API端点，它返回的内容如下：

如果用户已登录请求可能是：

“因此，根据购买的一系列库存，你可以推断，”Gualtieri说。

“这个例子对许多人来说可能听起来不切实际，但我看到太多设计糟糕/暴露不好的网络。

API要知道有一些类似于网络上这个假设的例子，“他补充道。

攻击类似但不同于Wavethrough

如果Masas的攻击听起来很熟悉，那是因为它与3月份发布的漏洞非常相似，称为Wavethrough（CVE-2018-8235），这是一个影响Edge和Firefox的漏洞。

就像Masas的Chrome bug一样，Wavethrough使用音频和视频标签绕过CORS保护，从其他站点加载数据并确定其内容。

但这就是相似性停止的地方。

“Wavethrough漏洞使用服务工作者和'范围'请求来提取原始数据，”Masas告诉Bleeping Computer。另一方面，我们观察从我们的元素发出的'进展'事件来估计跨源资源大小，然后利用这些信息通过利用Facebook等网站上的限制过滤器推断出有关用户的更多信息。

发现Wavethrough的Jake Archibald也表示，这两次袭击是相当不同的，即使它们是通过音频和视频HTML标签进行的。

“它非常相似，但更多的是时间攻击，而Wavethrough却不是，”阿奇博尔德今天在一次私人谈话中告诉Bleeping Computer。 “Wavethrough是一种原始模型违规行为。”

不同之处在于Wavethrough在破坏CORS后检索它找到的任何数据，而Masas的漏洞在一系列请求试图猜测数据是什么的时候，这个漏洞在不断刺激其他网站。但是当Chrome漏洞听起来更难以利用时，它事实并非如此。

“攻击并不复杂，只需要做一些准备，”Gualtieri告诉我们，并补充说这个不断猜测的游戏并不意味着Chrome的bug只限于单独针对一个用户。

“根据目标网站，猜测游戏可用于同时定位多个用户”Gualtieri说。

除非用户希望将其网络机密泄露到网上，否则建议将Chrome更新为v68.0.3440.75或更高版本。

（作者：曲速未来安全区；本文仅代表作者观点，不代表链得得官方立场）