URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 117978
[ Назад ]
Исходное сообщение
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено opennews , 22-Июл-19 07:56 
Опубликован (https://twitter.com/gorhill/status/1151979007052845056) метод, позволяющий в любом дополнении к Chrome добиться выполнения внешнего JavaScript-кода без предоставления дополнению расширенных полномочий (без unsafe-eval и unsafe-inline в manifest.json). Права доступа предполагают, что без unsafe-eval дополнение имеет возможность выполнить только код, входящий в локальную поставку, но предложенный метод даёт возможность обойти данное ограничение и выполнить в контексте дополнения любой JavaScript, загруженный с внешнего сайта.


В настоящее время компания Google закрыла публичный доступ к отчёту о проблеме (https://bugs.chromium.org/p/chromium/issues/detail?id=985759), но в архиве сохранился (https://archive.is/hi5o1) пример кода для эксплуатации проблемы. Способ аналогичен (https://bugs.chromium.org/p/chromium/issues/detail?id=329125) методу обхода ограничения  script-src 'self' в CSP и сводится к подстановке тега script через document.createElement('script') и включения в него внешнего содержимого через функцию fetch, после чего код будет выполнен  в контексте самого дополнения.
    

URL: https://news.ycombinator.com/item?id=20492449
Новость: https://www.opennet.me/opennews/art.shtml?num=51142

Содержание
Сообщения в этом обсуждении
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено gsdh , 22-Июл-19 07:57 
А раньше программы на си запускали под разными юзерами, чтобы кто попало не нахе-равертил, а теперь в могучем js,то из одной одной песочницы выползут, то из другой сбегут, а ведь им говорили, без разницы на каком языке криво писать, но они не верили.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено And , 22-Июл-19 10:13 
Зато они вовремя закрыли свои задания в Джире и сократили time to рынок!!! Халтура.

Не хочу быть знакомым с теми. )))

"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено YetAnotherOnanym , 22-Июл-19 10:53 
Зато можно сосредоточиться на бизнес-логике.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Hewlett Packard , 22-Июл-19 14:23 
Но и это не очень получается. Реклама того что ты вчера уже купил две следующие недели показывается, невзирая на весь прогресс в ИИ и вычислительных возможностях.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Вуыкло , 22-Июл-19 13:00 
Дак хром и написан на с/с++, включая сендбоксинг, причем тут код на js?
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 18:29 
Так любая реализация JS, даже написаная на JS уязвима по умолчанию. Казалось бы причём тут C\C++?
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено DerRoteBaron , 23-Июл-19 00:33 
Так дыра не в коде, а в логике
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Деннис Ритчи , 22-Июл-19 08:01 
Шёл 2222 год:
- Ура!!! Я купил терабайт памяти и смогу запустить хром без тормозов!
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 08:19 
А вы, сэр, оптимист. С текущими темпами "разработки" браузерам будет нужен терабайт в 2022.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено iPony129412 , 22-Июл-19 08:27 
Ну открыл первый попавшийся тест https://images.idgesg.net/images/article/2018/05/memory2-100...

Чего постоянно ноят?

"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 15:44 
это смотря какие "Tabs", некоторые редакторы вообще тысячи табов могут отобразить... и даже сконвертировать их в пробелы
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Григорий Федорович Конин , 22-Июл-19 13:28 
> - Ура!!! Я купил терабайт памяти и смогу запустить хром без тормозов!

Вы так говорите будто бы у вас есть выбор.

"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Vivaswan , 26-Июл-19 08:58 
Шел 2025 год.... "Урра, я купил терабайт памятии теперь могу запустить Пакман и Крестики-нолики в джава-Google-Chrome!!!"
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 08:14 
Аксиома Эскобара.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено ыы , 22-Июл-19 09:09 
С чего это вдруг... У вас есть выбор...И как утверждает масса- более десятка таких выборов...
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 13:06 
Какой еще выбор? Только линкс, только хардкор!
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 18:33 
Выбор отключить все скрипты или жить с ними? Проблема то в любом браузере существует, который исополняет жабу.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 23-Июл-19 09:44 
А разве одно исключает другое?
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 09:52 
> Права доступа предполагают, что без unsafe-eval дополнение имеет возможность выполнить только код, входящий в локальную поставку…

Шёл 2019 год, ожагс пропихнули в каждую щель, но мы предполагаем, что данные извне получить нельзя…

"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Евгений , 22-Июл-19 16:52 
ожагс не евалом парсится, умник
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 22-Июл-19 20:26 
И?
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 23-Июл-19 11:25 
А чем еще-то? Только var o=eval('('+msg+')') и не иначе. Остальное бьет по производительности.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено freehck , 23-Июл-19 12:15 
> сводится к подстановке тега script через document.createElement('script') и включения в него внешнего содержимого через функцию fetch, после чего код будет выполнен в контексте самого дополнения.

O_O

Нет слов.

Я как-то не понял: гугель мало платит за отчёты о таких ошибках, что их просто-напросто никто не ищет? Как это могло дожить до 2019го?

"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Агл , 23-Июл-19 13:18 
1) "Bigger Rewards for Security Bugs
July 18, 2019"
2)
"
R. Hill
‏ @gorhill
18 июл.

Nowadays it's best to presume the world wide web is highly hostile to users, and installing a *trusted* content blocker is the best mitigation.

"

"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 23-Июл-19 17:42 
apparmor/firejail
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 24-Июл-19 16:01 
А еще говорять что в линуксе вирусов нет.
"Уязвимость, позволяющая дополнениям Chrome выполнять внешний..."
Отправлено Аноним , 24-Июл-19 08:51 
Всегда считал это не уязвимостью, а штатным способом выполнить свой код с сервера в дополнении. Даже на stackoverflow похожий способ опубликован