Критическая уязвимость в расширении Evernote угрожала данным миллионов пользователей
В результате атаки данные пользователя, связанные с другими сайтами, которые тот посещал, оказались не защищены.
В конце мая 2019 года специалисты Guardio обнаружили опасную уязвимость в расширении Evernote Web Clipper для Chrome. Исследователи предупредили, что из-за высокой популярности Evernote у расширения насчитывается как минимум 4 600 000 пользователей. Уязвимость получила идентификатор CVE-2019-12592 и статус критической. Баг представляет собой UXSS (universal cross-site scripting), который позволяет обойти Same Origin Policy (SOP) браузера и дает атакующему возможность выполнить произвольный код от лица жертвы, сообщает KZ-CERT.
В результате такой атаки данные пользователя, связанные с другими сайтами, которые тот посещал, оказываются не защищены. Злоумышленник может получить доступ к аутентификационным данным, финансовой информации, личным разговорам в социальных сетях, электронным письмам, куки и так далее. Все это достигается путем перенаправление жертвы на подконтрольный злоумышленникам ресурс, подгружающий скрытые iframe’ы, ориентированные на различные сторонние ресурсы. Эксплойт принуждает Evernote внедрять вредоносный код во все iframe’ы, и полезная нагрузка похищает нужную атакующим информацию.
Evernote выпустил исправление, новая версия уже доступна пользователям. Чтобы узнать, установлена ли у вас последняя версия, перейдите на страницу расширения Evernote Chrome и убедитесь, что в поле «Версия» отображается 7.11.1 или выше.
Эта уязвимость свидетельствует о том, как важно подходить к установке расширений для браузера с особой тщательностью. Специалисты обращают внимание на то, что всего одно опасное расширение может скомпрометировать все действия пользователя в интернете (финансы, социальные сети, личные письма и т. д.).