Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

09:35 | 04/01/2016 | LỖ HỔNG ATTT

Tiện ích mở rộng trên Chrome do AVG AntiVirus tự động cài đặt trên hệ thống người dùng gây nguy cơ lộ lọt lịch sử duyệt web và các thông tin cá nhân khác trên Internet. Đây là phát hiện của nhà nghiên cứu Tavis Ormandy thuộc nhóm Google Project Zero.

Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

Theo báo cáo của Ormandy, tiện ích Chrome này được gọi là AVG Web TuneUp được cài đặt trên hệ thống người dùng cuối cùng với phần mềm diệt virus của AVG. Tiện ích gây ra nhiều lỗ hổng cho trình duyệt, dẫn tới việc hơn 9 triệu người dùng rơi vào nguy hiểm.

Theo giải thích của nhà nghiên cứu, tiện ích này được thiết kế để bổ sung số lượng lớn các giao diện lập trình ứng dụng (API) JavaScript cho Chrome với mục đích chiếm dụng cài đặt tìm kiếm và trang tab mới. Tuy nhiên, nhiều API trong số đó bị lỗi. Ngoài ra, Ormandy lưu ý quá trình cài đặt tiện ích này cũng rất phức tạp vì nó có thể qua mặt các cơ chế kiểm duyệt mã độc của Chrome, vốn được thiết kế nhằm ngăn chặn việc lạm dụng API của tiện ích.

Trong số các lỗ hổng của AVG Web TuneUp, nhà nghiên cứu đề cập đến lỗi XSS (Cross-Site Scripting) trong API điều khiển, cho phép website thực thi ngôn ngữ lập trình trên các tên miền khác. Theo Ormandy, website có thể đọc được các email từ địa chỉ mail google.com và thực hiện các hành vi khác bởi lỗ hổng ở mức rất nghiêm trọng.

Nhà nghiên cứu cũng cho biết tiện ích API khiến cho lịch sử duyệt web của người dùng bị lộ trên Internet. Ormandy lưu ý tiện ích và các API có lỗi cũng có thể được sử dụng để thực thi mã từ xa nếu kẻ xấu có đủ thời gian và kiên nhẫn.

Ormandy đã phối hợp cùng AVG giải quyết các lỗi trên tiện ích, đồng thời tạo lập mã khai thác đánh cắp cookie từ avg.com.

Ormandy cho biết tiện ích này vẫn cho phép tin tặc tấn công man-in-the-middle (MitM) để chèn JavaScript vào nguồn “bất kỳ”, thậm chí là nguồn an toàn (trang HTTPS), do vậy sử dung bảo vệ bằng SSL với những ai sử dụng tiện ích này là vô nghĩa. Hơn thế nữa, nhà nghiên cứu cũng giải thích bất kỳ XSS trên avg.com đều có thể được sử dụng để tấn công người dùng Chrome.

Tiện ích AVG Web TuneUp Chrome phiên bản 4.2.5.169 xử lý được lỗi này. Tuy nhiên, Google đã vô hiệu hóa cài đặt trực tiếp cho tiện ích này. Người dùng cần truy nhập vào kho và tải phiên bản đã cập nhật một cách thủ công. Đồng thời, Google cũng đang tìm hiểu về những xung đột về mặt chính sách của hãng.

Tháng 11/2015, hãng enSilo cũng đã tiết lộ lỗ hổng ở mức nghiêm trọng được tìm thấy trong AVG Internet Security 2015, có thể bị khai thác bởi tin tặc nhằm qua mặt các cơ chế bảo vệ Windows.

‹ › ×

Tin liên quan

Nhiều ứng dụng lộ hành vi thu thập dữ liệu người dùng trên iOS 14

14:00 | 03/07/2020

Bên cạnh 53 ứng dụng bị cho là thu thập dữ liệu người dùng, iOS 14 cũng chỉ ra ứng dụng nhắn tin Zalo âm thầm đọc bộ nhớ tạm thời của người dùng.

Tin cùng chuyên mục

AT&T xác nhận dữ liệu của 73 triệu khách hàng bị rò rỉ

13:00 | 05/04/2024

Trong một động thái mới nhất, AT&T cuối cùng đã xác nhận rằng họ bị ảnh hưởng bởi một vụ vi phạm dữ liệu ảnh hưởng đến 73 triệu khách hàng.

Phân tích phần mềm độc hại mới đánh cắp ví tiền điện tử trong các ứng dụng bẻ khóa trên macOS

14:00 | 22/02/2024

Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.

Khám phá phiên bản cập nhật của phần mềm đánh cắp thông tin Atomic Stealer nhắm mục tiêu vào macOS

08:00 | 19/01/2024

Các nhà nghiên cứu an ninh mạng của hãng bảo mật Malwarebytes (Mỹ) đã xác định được phiên bản cập nhật của phần mềm đánh cắp thông tin trên macOS có tên là Atomic Stealer (hoặc AMOS), cho thấy các tác nhân đe dọa phát triển phần mềm độc hại này đang tích cực nâng cao khả năng của nó. Trong bài viết này sẽ xem xét những thay đổi mới nhất của Atomic Stealer và việc phân phối gần đây các quảng cáo độc hại thông qua công cụ tìm kiếm Google.

Lỗ hổng Bluetooth mới có thể cho phép tin tặc chiếm quyền điều khiển trên các thiết bị Android, Apple và Linux

14:00 | 19/12/2023

Một lỗi bảo mật Bluetooth nghiêm trọng được cho là đã tồn tại trong vài năm gần đây có thể bị tin tặc khai thác để chiếm quyền kiểm soát trên các thiết bị Android, Linux, macOS và iOS.