Популярные расширения для Chrome продавали данные более чем 4 млн пользователей
Популярные расширения для браузеров Google Chrome и Mozilla Firefox, которые в общей сложности установило 4 млн пользователей, собирают данные более чем об историях просмотра, налоговых счетах, медицинских картах, просмотренных фотографиях, а также пароли и GPS-координаты.
читать дальше
Согласно исследованию, список включает такие популярные расширения, как HoverXoom, SpeakIt!, SuperZoom, SaveFrom.et Helper, FairShare Unlock, PanelMeasurement, Branded Surveys и Panel Community Surveys. Все расширения доступны в версиях для Chrome, а некоторые из них также для Firefox.
Расширения собирали URL-адреса, заголовки страниц и гиперссылки на страницах, посещаемых пользователями. Некоторые ссылки содержали токены, позволяющие получить доступ к конфиденциальной информации без пароля. Собранные данные затем фильтровались по доменному имени и выставлялись на продажу.
Исследователи обнаружили собранную информацию на аналитическом сервисе Nacho Analytics. Компания предлагает статистику о действиях, производимых практически на каждом web-сайте. Стоимость услуги составляет всего $49 в месяц. Согласно отчету, данные собирались в течении нескольких месяцев, что вылилось в утечку документов различных компаний, в том числе медицинских и облачных хранилищ, в частности Microsoft OneDrive. Как отмечается, раскрытыми оказались документы сотрудников более 50 крупных корпораций, включая информацию о внутренних корпоративных сетях и межсетевых экранах.
Эксперты сообщили Google и Mozilla о находках, и компании сразу удалили расширения из своих каталогов.
Ранее компания Amazon запустила акцию для пользователей, в рамках которой предлагала скидку в размере $10 в обмен на доступ к истории браузера покупателей.
Обнаружена новая опасная уязвимость в браузере Chrome
Разработчик блокировщика рекламы µBlock для Firefox программист Реймонд Хилл (Raymond Hill) в своем аккаунте в Твиттер описал метод, позволяющий удаленное выполнение кода в любом дополнении для Chrome. Выполнение удаленного JavaScript-кода возможно даже без предоставления дополнению расширенных прав.
читать дальше
Уязвимость позволяет выполнить код не только входящий в локальную поставку, но и обойти настройку ограничения unsafe-eval и выполнить в контексте дополнения любой JavaScript-код, загруженный с внешнего сайта, пишет OpenNET.
Компания Google закрыла публичный доступ к отчету о возникнувшей проблеме. Сохранившийся пример кода можно посмотреть в архиве.
