Popüler ScreAncy Chrome uzantısı, kötü niyetli sitelerin kullanıcıların web kameralarını kaçırmasına ve kaydedilmiş videoları çalmasına izin veren bir güvenlik açığını düzeltti. Bununla birlikte, vicdansız içericiler tarafından sömürülebilen güvenlik kusurları hala mevcuttur.
Satıcı, siteler arası senaryo (XSS) güvenlik açığını kabul etti ve güvenlik araştırmacısı Wladimir Palant'ın 14 Şubat 2022'de sorumlu bir şekilde bildirmesinden hemen sonra düzeltildi.
Bununla birlikte, aynı gizlilik ve güvenlik ile ilgili riskler, kullanıcıları Screencasty platformu ile ortak olan web sitelerinden potansiyel riskte tutar.
Palant, satıcı üç ay sonra sorunları tam olarak çözmediği için, altta yatan risklerin ekranışlaştırılmasını kullanan milyonlarca insanı uyarmak için blogunda bir yazı yayınlamaya karar verdi.
Screencastify, Chrome Web mağazasında 10.000.000'den fazla yükleme ile bir ekran kaydedici, video düzenleyicisi ve medya paylaşım tarayıcısı uzantısıdır.
On milyon platform tarafından desteklenen maksimum indirme şekli olduğundan, kurulum sayısı çok daha yüksek olabilir.
Aracın popülaritesi, bir dizi günlük görevlerde yararlı olabilen kullanımı kolay ve güçlü bir fayda olduğu için pandemi sırasında patladı.
Uzatma, video düzenleme işlevselliği sunmak için gerekli olan satıcının web sitesi ile entegre edilmiştir. Ne yazık ki, bu uygun ve anlaşılır olsa da, aynı zamanda bir risk kaynağıdır.
İlk sayı ScreAncastify'nin kullanıcının Google Drive'a erişme ve hesaplarına kalıcı bir Google OAuth erişim belirteci oluşturma isteğinden kaynaklanıyor.
Bu erişim belirtecisi, kullanıcının ek kullanıcı işlemleri gerektirmeden hizmet kullanılarak yüklenen veya indirilen video projelerini barındıran görünür (gizli değil) bir klasör oluşturmak için gereklidir.
Platform ayrıca WebRTC API'sına bir kez erişme izinleri ister, bu nedenle yakalama işlevlerine erişim, kullanıcının ilk kayıt girişiminden etkinleştirilir.
Chrome'un masaüstü API ve Tabcapture API'sına erişme izinleri, uzantının kurulumu üzerine otomatik olarak verilir.
Web sitesinde bulunan bir XSS güvenlik açığı, saldırganların screAncyty'nin Google Drive'a yüklenecek bir videoyu kaydetmesini sağlamasına izin verdi. Aynı güvenlik açığı, tehdit aktörlerinin daha sonra oluşturulan videoyu indirmek için kullanabileceği Google Drive OAuth Token'in çalınmasına izin verdi ve Google Drive'da depolanan başka bir şey.
Daha da kötüsü, araştırmacı, eylemi göstermeden screencastify uzantısının kullanıcılarının web kamerasını başlatmak için kullanabilecekleri bir POC istismar saldırganları geliştirdi.
"Sorun, bir meydan okumaya zaten bir video gönderdiyseniz ve başka bir tane göndermeye çalışıyorsanız, sorun görüntülenen hata sayfasında bulundu," diye açıklıyor Palant blog yazısında
"Bu hata sayfası sabit bir adresin altında bulunur, böylece hata koşulunu tetiklemek yerine doğrudan açılabilir."
Burada bir doğrulama yapılmadığından, saldırgan bu bağlantıyı bir hedefe gönderir ve onları "Sınıfta Görünüm" düğmesini tıklamaya kandırırsa, bir XSS koşulu elde edebilirler.
Araştırmacı, görünmez bir çerçeveye savunmasız hata sayfasını yükleyen ve kurbanın imlecinin altındaki düğmeyi konumlandıran bir konsept sayfası oluşturarak bir tıklama saldırısı geliştirdi.
Kullanıcı, istismarın çalışması için gereken tek eylem olan fareyi tıkladıktan sonra, Screencasty Google erişim belirtecini alır, saldırgan için video kaydını veya erişimi mümkün kılar.
ScreAncyty, herhangi bir kötü amaçlı sitenin web kameralarını kaçırmasına izin veren XSS güvenlik açığını düzeltirken, bir çalışanın veya tehlikeye atılan sitenin kullanıcının cihazlarından sessizce videoları kaydetmesine izin verebilecek sorunlar var.
Plant'a göre, Domain Sunucusu Screencasty Projeyi kullanan ve büyük bir XSS saldırı yüzeyi açan çeşitli şirketlerden birden fazla uygulamayı screencasty.
Bu şirketler, hepsi içerik güvenliği açısından gerçek bir koruması olmayan alt alanları kontrol eden Webflow, Teachable, Atlassian, Netlify, Marketo ve Zendesk'tir.
Analiste göre, Screencastify'ın en son sürümü 2.69.0.4425, yetkisiz API ve Google OAuth Token erişimi için hala savunmasız ve video kaydını başlatacak işleyici hala mevcut.
"Burada pek bir şey değişmiyor gibi görünmüyor ve görsel ipuçları olmadan bir web kamerası kaydı başlatmanın hala mümkün olduğunu doğrulayabilirim." Araştırmacı diyor.
Satıcı Palant'a katı bir içerik güvenlik politikası eklemeyi planladıklarını söyledi, ancak bu henüz gerçekleşmedi, bu nedenle kullanıcılar hala risk altında.
XSS kusurları ScreAncyfy kullanan tüm şirketler tarafından ele alınsa bile, uzantıyı kullanmayı seçmek üçüncü tarafları Google Drive içeriğinize tam erişimle emanet ediyor.
Aldığı tek şey, bu sitelerin haydut bir çalışan veya bir siteyi bir kez daha ScreAncyty kullanıcıların web kameralarından kaydetmek için kaydolan bir hacker tarafından değiştirilmesidir.
BleepingComputer, geri kalan sorunlarla ilgili olarak screAncify ile temasa geçti, ancak şu anda bir cevap almadı.
-Tubat yukarıdaki makale, araştırmacıdan açıklamalar aldıktan sonra 24 Mayıs'ta güncellendi
Üçüncü taraf web izleyicileri, göndermeden önce yazdıklarınızı günlüğe kaydetti
Rusya'daki Android cihazlarda başarısız olan Google Chrome güncellemeleri
Tor Project, yeni sistemle ağ hız performansını yükseltiyor
Cyberspies, backdoors dağıtmak, Exchange e -postalarını çalmak için IP kameraları kullanın
Google, güncellenmiş kişisel bilgiler kaldırma politikasıyla doxxing ile savaşıyor
Kaynak: Bleeping Computer