Gli analisti di Symantec hanno identificato gravi vulnerabilità in diverse estensioni di Google Chrome, che minacciano la privacy e la sicurezza degli utenti. I problemi riguardano la trasmissione di dati sensibili tramite un protocollo HTTP non protetto e la presenza di segreti hard-coded nel codice delle estensioni.

Secondo il ricercatore Yuanjing Guo del team Symantec, diverse estensioni ampiamente utilizzate trasmettono involontariamente dati sensibili tramite una connessione HTTP non protetta. Questi dati includono domini dei siti visitati, identificativi dei dispositivi, informazioni sul sistema operativo, analisi dell’utilizzo e persino informazioni sull’eventuale rimozione dell’estensione. Tutto ciò viene trasmesso in chiaro, senza crittografia. Poiché il traffico non è protetto, è vulnerabile agli attacchi Adversary-in-the-Middle (AitM).

Gli aggressori sulla stessa rete, ad esempio su una rete Wi-Fi pubblica, possono non solo intercettare le informazioni trasmesse, ma anche modificarle, il che può portare a conseguenze più gravi. L’elenco delle estensioni non sicure include:

• SEMRush Rank e PI Rank : accedi all’indirizzo tramite HTTP rank.trellian[.]com;
• Browsec VPN : quando si rimuove l’estensione, invia una richiesta tramite HTTP a browsec-uninstall.s3-website.eu-central-1.amazonaws[.]com;
• MSN Nuova scheda e MSN Homepage, Bing Search e News : trasmettono identificatori univoci del dispositivo a g.ceipmsn[.]com;
• DualSafe Password Manager : trasferisce le statistiche di utilizzo, la versione dell’estensione e la lingua del browser in stats.itopupdate[.]com.

Sebbene non siano state rilevate perdite dirette di password, il fatto che il gestore delle password invii dati di telemetria tramite una connessione non protetta mina la fiducia nella sua affidabilità. Symantec ha anche identificato un altro gruppo di estensioni che codificano direttamente chiavi API, token e segreti. Questi dati possono essere utilizzati dagli aggressori per creare richieste dannose e condurre attacchi.

Tra questi:

• AVG Online Security , Speed ​​Dial [FVD] , SellerSprite : contengono un segreto hard-coded di Google Analytics 4 (GA4), con il cui aiuto è possibile distorcere le metriche;
• Equatio – contiene la chiave Microsoft Azure utilizzata per il riconoscimento vocale;
• Awesome Screen Recorder e Scrolling Screenshot Tool : la chiave sviluppatore AWS per caricare screenshot sullo storage S3;
• Microsoft Editor : utilizza una chiave di telemetria StatsApiKeyper raccogliere analisi;
• Antidote Connector : utilizza una libreria di terze parti, InboxSDK, con chiavi API codificate. La stessa libreria è utilizzata in oltre 90 altre estensioni, i cui nomi non sono divulgati;
• Watch2Gether , Trust Wallet , TravelArrow : contengono rispettivamente le chiavi pubbliche per le API Tenor, Ramp Network e ip-api.

Gli aggressori che ottengono l’accesso a queste chiavi possono falsificare la telemetria, simulare transazioni di criptovaluta, pubblicare contenuti proibiti e aumentare i costi degli sviluppatori per le chiamate API. Gli esperti sottolineano: da GA4 ad Azure, da AWS a Ramp, poche righe di codice non protetto possono compromettere un intero servizio. La soluzione è non archiviare dati sensibili lato client e utilizzare solo canali di comunicazione sicuri.

Si consiglia agli utenti di rimuovere le estensioni non sicure finché gli sviluppatori non elimineranno le chiamate tramite un protocollo non protetto. Il traffico trasparente non è una minaccia astratta: può essere facilmente intercettato e utilizzato per phishing, sorveglianza e attacchi mirati. Anche un’elevata popolarità e un marchio riconoscibile non garantiscono il rispetto dei principi di sicurezza di base. Le estensioni devono essere verificate in base ai protocolli utilizzati e alla natura delle informazioni trasmesse: solo questo può garantire una reale protezione dei dati.

L'articolo Estensioni Chrome sotto accusa: gravi falle mettono a rischio milioni di utenti proviene da il blog della sicurezza informatica.