Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

09:35 | 04/01/2016 | LỖ HỔNG ATTT

Tiện ích mở rộng trên Chrome do AVG AntiVirus tự động cài đặt trên hệ thống người dùng gây nguy cơ lộ lọt lịch sử duyệt web và các thông tin cá nhân khác trên Internet. Đây là phát hiện của nhà nghiên cứu Tavis Ormandy thuộc nhóm Google Project Zero.

Tiện ích mở rộng AVG trên Chrome gây lộ lọt dữ liệu người dùng

Theo báo cáo của Ormandy, tiện ích Chrome này được gọi là AVG Web TuneUp được cài đặt trên hệ thống người dùng cuối cùng với phần mềm diệt virus của AVG. Tiện ích gây ra nhiều lỗ hổng cho trình duyệt, dẫn tới việc hơn 9 triệu người dùng rơi vào nguy hiểm.

Theo giải thích của nhà nghiên cứu, tiện ích này được thiết kế để bổ sung số lượng lớn các giao diện lập trình ứng dụng (API) JavaScript cho Chrome với mục đích chiếm dụng cài đặt tìm kiếm và trang tab mới. Tuy nhiên, nhiều API trong số đó bị lỗi. Ngoài ra, Ormandy lưu ý quá trình cài đặt tiện ích này cũng rất phức tạp vì nó có thể qua mặt các cơ chế kiểm duyệt mã độc của Chrome, vốn được thiết kế nhằm ngăn chặn việc lạm dụng API của tiện ích.

Trong số các lỗ hổng của AVG Web TuneUp, nhà nghiên cứu đề cập đến lỗi XSS (Cross-Site Scripting) trong API điều khiển, cho phép website thực thi ngôn ngữ lập trình trên các tên miền khác. Theo Ormandy, website có thể đọc được các email từ địa chỉ mail google.com và thực hiện các hành vi khác bởi lỗ hổng ở mức rất nghiêm trọng.

Nhà nghiên cứu cũng cho biết tiện ích API khiến cho lịch sử duyệt web của người dùng bị lộ trên Internet. Ormandy lưu ý tiện ích và các API có lỗi cũng có thể được sử dụng để thực thi mã từ xa nếu kẻ xấu có đủ thời gian và kiên nhẫn.

Ormandy đã phối hợp cùng AVG giải quyết các lỗi trên tiện ích, đồng thời tạo lập mã khai thác đánh cắp cookie từ avg.com.

Ormandy cho biết tiện ích này vẫn cho phép tin tặc tấn công man-in-the-middle (MitM) để chèn JavaScript vào nguồn “bất kỳ”, thậm chí là nguồn an toàn (trang HTTPS), do vậy sử dung bảo vệ bằng SSL với những ai sử dụng tiện ích này là vô nghĩa. Hơn thế nữa, nhà nghiên cứu cũng giải thích bất kỳ XSS trên avg.com đều có thể được sử dụng để tấn công người dùng Chrome.

Tiện ích AVG Web TuneUp Chrome phiên bản 4.2.5.169 xử lý được lỗi này. Tuy nhiên, Google đã vô hiệu hóa cài đặt trực tiếp cho tiện ích này. Người dùng cần truy nhập vào kho và tải phiên bản đã cập nhật một cách thủ công. Đồng thời, Google cũng đang tìm hiểu về những xung đột về mặt chính sách của hãng.

Tháng 11/2015, hãng enSilo cũng đã tiết lộ lỗ hổng ở mức nghiêm trọng được tìm thấy trong AVG Internet Security 2015, có thể bị khai thác bởi tin tặc nhằm qua mặt các cơ chế bảo vệ Windows.

‹ › ×

Tin liên quan

Nhiều ứng dụng lộ hành vi thu thập dữ liệu người dùng trên iOS 14

14:00 | 03/07/2020

Bên cạnh 53 ứng dụng bị cho là thu thập dữ liệu người dùng, iOS 14 cũng chỉ ra ứng dụng nhắn tin Zalo âm thầm đọc bộ nhớ tạm thời của người dùng.

Tin cùng chuyên mục

17.000 lỗ hổng mới đe dọa an ninh mạng Việt Nam trong nửa đầu 2024

11:00 | 03/09/2024

Theo báo cáo mới nhất được Viettel công bố ngày 26/8 vừa qua, cho thấy tình hình an ninh mạng đáng báo động với sự xuất hiện của 17.000 lỗ hổng mới chỉ trong 6 tháng đầu năm, đặt ra thách thức lớn cho các doanh nghiệp Việt.

Lỗ hổng Microsoft Office cho phép tin tặc theo dõi người dùng

10:00 | 23/08/2024

Các nhà nghiên cứu bảo mật tại Cisco Talos vừa phát hiện ra một số lỗ hổng Microsoft Office, cho phép tin tặc theo dõi người dùng thông qua camera và micro.

Phát hiện hình thức tấn công DNS mới

13:00 | 06/08/2024

Các nhà nghiên cứu đã phát hiện ra một lỗ hổng nghiêm trọng mới trong Hệ thống phân giải tên miền (DNS) cho phép thực hiện một cuộc tấn công có tên là TuDoor. Cuộc tấn công này có thể được sử dụng nhằm vào bộ đệm DNS, khởi tạo các điều kiện để tấn công từ chối dịch vụ (DoS) và làm cạn kiệt tài nguyên, điều đó khiến nó trở thành mối đe dọa mới.

Cảnh báo trình duyệt Chromium lén đánh cắp thông tin người dùng

13:00 | 25/07/2024

Các trình duyệt web phổ biến như Google Chrome, Microsoft Edge, Opera và Brave đều dựa trên nền tảng mã nguồn mở Chromium hiện đang bị cáo buộc âm thầm gửi thông tin người dùng cho Google.