Chrome 浏览器 CSP 漏洞导致数十亿用户面临数据被盗风险

Threat Post 报道称：基于 Chromium 内核的浏览器被曝存在一个可被绕过的内容安全策略（简称 CSP）漏洞，导致数十亿用户易被攻击者窃取数据和执行恶意代码。PerimeterX 网络安全研究人员 Gal Weizman 指出，该漏洞（CVE-2020-6519）可在 Windows、Mac 和 Android 版 Chrome 浏览器，以及 Opera 和 Edge 中找到。

http://hackernews.cc/wp-content/uploads/2020/08/073c3e7c55a07d5.png

（来自：PerimeterX）

如果你仍在使用 2019 年 3 月发布的 Chrome 73、以及 2020 年 7 月前的 Chrome 83，还请尽快更新至已修复 CVE-2020-6519 漏洞的 Chrome 84 。

据悉，作为一项 Web 标准，内容安全策略（CSP）旨在阻止某些类型的攻击，比如跨站脚本（XSS）和数据注入（data-injection）。

CSP 允许 Web 管理员指定浏览器可执行脚本的有效源范围，以便兼容该标准的浏览器仅执行可信来源的脚本加载操作。

http://hackernews.cc/wp-content/uploads/2020/08/e100973e48952b6.png

浏览器易受攻击，但网站并不这样。

Weizman 在周一发布的研究报告中指出：“CSP 是网站所有者用于执行数据安全策略、以防止在其网站上执行恶意影子代码的主要方法，因而当其绕过浏览器时，个人用户的数据就面临着风险”。

目前大多数网站都已事实 CSP 内容安全策略，包括大家熟知的 ESPN、Facebook、Gmail、Instagram、TikTok、WhatsApp、Wells Fargo 和 Zoom 等互联网巨头。

不过一些知名的站点得以幸免，包括 GitHub、谷歌 Play 商店、领英 LinkedIn、PayPal、Twitter、雅虎登录页面、以及 Yandex 。

http://hackernews.cc/wp-content/uploads/2020/08/ddb795840724b0c.png

用此漏洞，攻击者必须先通过暴力破解或其它方法来访问 Web 服务器，以便能够修改其 JavaScript 代码。

然后攻击者可以在 JavaScript 中添加 frame-src 或 child-src 指令，以允许注入代码并强制加载执行，从而绕过站点 CSP 内容安全策略的防护。

尽管该漏洞被 CvSS 认定为中等严重等级（6/10），但由于它会影响 CSP 的执行，因此具有了更广泛的意义。换言之，当设备不幸中招时，事故造成的损害将严重得多。

http://hackernews.cc/wp-content/uploads/2020/08/8066993a99e1d3b.png

举个例子，若 CSP 措施得当，网站仍可限制对此类敏感信息的访问。但以类似的方式，恶意 Web 开发者可利用第三方脚本，向付款页面加注一些额外的功能。

更糟糕的是，这个漏洞已在 Chrome 浏览器中存在了一年以上，直到近日才得到彻底修复。因而 Weizman 警告称，该漏洞的全部影响尚不为人所知。

最后，为避免遭受此类攻击而导致个人身份信息（PII）等敏感数据泄露，还请大家立即将浏览器升级到最新版本。

（稿源：cnBeta，封面源自网络。）