Google Chrome และเบราว์เซอร์ที่ใช้ Chromium อื่นๆ (เปิดในแท็บใหม่) พบว่ามีช่องโหว่ที่มีความรุนแรงสูงซึ่งทำให้ผู้คุกคามสามารถขโมยไฟล์ส่วนตัวของผู้คน รวมถึงเนื้อหาในกระเป๋าเงิน สกุลเงินดิจิทัล และข้อมูลรับรองการเข้าสู่ระบบ
ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ของ Imperva ได้ค้นพบว่าวิธีที่เบราว์เซอร์ Chrome และ Chromium (ใช้โดยคนประมาณ XNUMX พันล้านคน) โต้ตอบกับระบบไฟล์นั้นไม่สมบูรณ์ โดยเฉพาะอย่างยิ่ง วิธีที่เบราว์เซอร์จัดการกับลิงก์สัญลักษณ์
ลิงก์สัญลักษณ์หรือลิงก์ทางชีวภาพคือไฟล์ที่ชี้ไปยังไฟล์หรือไดเร็กทอรีอื่น นักวิชาการอธิบาย พวกเขาปล่อยให้ระบบปฏิบัติการจัดการไฟล์หรือไดเร็กทอรีที่เชื่อมโยงราวกับว่ามันอยู่ที่ตำแหน่งลิงก์สัญลักษณ์ "วิธีนี้มีประโยชน์สำหรับการสร้างทางลัด เปลี่ยนเส้นทางไฟล์ หรือจัดระเบียบไฟล์ได้อย่างยืดหยุ่นมากขึ้น" นักวิชาการอธิบายในบล็อกโพสต์ (เปิดในแท็บใหม่)
สถานการณ์การโจมตีที่เป็นไปได้
แต่หากไฟล์เหล่านี้ไม่ได้รับการจัดการอย่างเหมาะสม อาจทำให้เกิดช่องโหว่ได้ และนักวิจัยพบว่าเบราว์เซอร์ไม่ได้ตรวจสอบอย่างถูกต้องว่าลิงก์สัญลักษณ์ชี้ไปยังตำแหน่งที่พัฒนาขึ้นจนไม่สามารถเข้าถึงได้หรือไม่
อธิบายสถานการณ์การโจมตีที่เป็นไปได้ นักวิชาการอ้างว่าผู้คุกคามสามารถสร้างกระเป๋าเงินดิจิตอลปลอมและไซต์ที่ขอให้ผู้ใช้อัปโหลดคีย์การกู้คืน ไฟล์ที่อัปโหลดจะเป็นลิงก์สัญลักษณ์ไปยังไฟล์หรือโฟลเดอร์ที่สงวนไว้บนคอมพิวเตอร์ของผู้ใช้ ไฟล์นี้อาจเป็นข้อมูลรับรองการเข้าสู่ระบบของผู้ให้บริการระบบคลาวด์หรือสิ่งที่คล้ายกัน ส่วนที่เลวร้ายที่สุดคือเหยื่อจะลืมความจริงที่ว่าข้อมูลที่สำคัญของพวกเขาถูกบุกรุก
นอกจากนี้ กลยุทธ์นี้จะไม่สุดโต่งเกินไป นักวิชาการอ้างว่า "กระเป๋าเงินคริปโตและบริการออนไลน์อื่น ๆ จำนวนมาก" ต้องการให้ผู้ใช้ดาวน์โหลดคีย์การกู้คืนเพื่อเข้าถึงบัญชีของตน
"ในสถานการณ์การโจมตีที่อธิบายไว้ก่อนหน้านี้ ผู้โจมตีจะใช้ประโยชน์จากแนวทางปฏิบัติทั่วไปนี้โดยให้ไฟล์ zip ที่มีลิงก์สัญลักษณ์แก่ผู้ใช้แทนการใช้คีย์กู้คืนจริง"
ช่องโหว่นี้ถูกระบุว่าเป็น CVE-XNUMX-XNUMX ซึ่งเป็นข้อบกพร่องในการตรวจสอบข้อมูลที่ไม่ดีในระบบไฟล์ ตั้งแต่นั้นมา Google ได้แก้ไขปัญหาและเปิดตัว Chrome XNUMX เป็นวิธีแก้ปัญหา ดังนั้น ตรวจสอบให้แน่ใจว่าคุณใช้เบราว์เซอร์เวอร์ชันนี้อยู่แล้วก่อนที่จะดาวน์โหลดคีย์การคืนค่า