Η Google “τα χώνει” στην AVG επειδή εκτέθηκαν δεδομένα χρηστών του Chrome με το “security plugin” της

[voltmod]

Ένα δωρεάν plugin της AVG AntiVirus παρέκαμπτε την ασφάλεια της ίδιας της Google στον Chrome Browser με αποτέλεσμα να υπάρχει περίπτωση να έχουν εκτεθεί το ιστορικό και άλλα προσωπικά δεδομένα χρηστών του στο Internet.

Η επέκταση Chrome με την ονομασία “AVG Web TuneUp” από τα στατιστικά της Google φαίνεται να χρησιμοποιείται από 9 εκατομμύρια ενεργούς χρήστες του Chrome, οπότε δικαιολογείται η “έκρηξη” του ερευνητή της Google σε συζήτηση σχετικά με το bug. Η AVG προσπάθησε στην συνέχεια να διορθώσει το πρόβλημα -κάτι που τελικά έγινε- ωστόσο οι πρώτες προσπάθειες της εταιρείας κρίθηκαν ως μη αποδεκτές.

 

Το εργαλείο Web TuneUp της AVG προσφέρεται δωρεάν στο Chrome store και έχει στόχο να προσφέρει reputation-based προστασία, ενάντια σε κακόβουλες ιστοσελίδες. Το πρόβλημα είναι ότι ο τρόπος εγκατάστασης του (forced-installed) από το AVG AntiVirus, παρέκαμπτε ελέγχους ασφαλείας που χρησιμοποιεί ο Chrome για να ανιχνεύει κακόβουλα plugins και malware.

 

Ο τρόπος που λειτουργεί το plugin είναι να στέλνει τις διευθύνσεις των ιστοσελίδων που επισκέπτονται οι χρήστες του Chrome στους διακομιστές της AVG ώστε να ελεγχθούν χρησιμοποιώντας μία βάση δεδομένων από γνωστές κακόβουλες ιστοσελίδες. Ωστόσο ο τρόπος που είχε δημιουργηθεί το plugin ήταν τέτοιος, που μπορούσε πολύ εύκολα να το εκμεταλλευτεί κάποιος επιτιθέμενος (μέσω cross-site scripting, XSS) σύμφωνα με μία ανάρτηση του Ερευνητή Ασφαλείας της Google, Tavis Ormandy.

 

 

Όπως αναφέραμε, αρχικά η AVG προσπάθησε να διορθώσει το πρόβλημα, αλλά το μόνο που έκανε είναι να συμπεριλαμβάνει σε “whitelist” μόνο τις αιτήσεις από hosts που περιείχαν το string “avg.com” στην ονομασία. Όπως όμως απάντησε ο Tavis Ormandy, κακόβουλες ιστοσελίδες που χρησιμοποιούσαν το avg.com στις ονομασίες τους όπως για παράδειγμα η https://www.avg.com.www.attacker.comθα μπορούσαν να καταστήσουν εξίσου δυνατό το spoofing των διακομιστών της AVG και άρα οι επιτιθέμενοι θα μπορούσαν να χρησιμοποιήσουν μία επίθεση man-in-the-middle για να περάσουν κακόβουλη Javascript στα θύματα τους, χωρίς να έχει σημασία αν η σύνδεση είναι ασφαλής ή όχι.

 

Η AVG διόρθωσε το πρόβλημα στις 28 Δεκεμβρίου, με την εταιρεία να ευχαριστεί την Google Security Research Team στο BBC για την υπόδειξη του προβλήματος και την βοήθεια της.

 

Site: ArsTechnica

[Predatorkill]

Εδω το kaspersky kis2016 κανει inject μονο του ολοκληρο αρχειο js μεσα σε ΚΑΘΕ σελιδα που ανοιγεις το οποιο και καλα κοιταει localhost, και ασχολειστε με ενα μικρουλι bug;

 

http://forum.kaspersky.com/lofiversion/index.php/t316466.html

[tsiouficto]

Ένα δωρεάν plugin της AVG AntiVirus παρέκαμπτε την ασφάλεια της ίδιας της Google στον Chrome Browser

 

​Κάπου εκεί σταμάτησα να διαβάζω διότι το άρθρο είχε γίνει ένα σουρεαλιστικό μυθιστόρημα επιστημονικής φαντασίας...

[bisbirikos]

Καλά να πάθουν! Πολύ το χάρηκα. Οι άλλοι που τα ακουμπάνε κάθε χρόνο για Norton McAffee Kapersky κτλ είναι ανόητοι;

[pcos]

Καλά να πάθουν! Πολύ το χάρηκα. Οι άλλοι που τα ακουμπάνε κάθε χρόνο για Norton McAffee Kapersky κτλ είναι ανόητοι;

ΝΑΙ

[basilis_k6]

Αυτός που κατέληξε να κάνει ινσταλ αυτο το αντον καλα να παθει. ακομα βρισκουν πελατες?

[Ghost_Rider]

χωσε μωρη google χαχαχχαχαχχα ελεος

[xpera_x]

Ένα δωρεάν plugin της AVG AntiVirus παρέκαμπτε την ασφάλεια της ίδιας της Google στον Chrome Browser

​Κάπου εκεί σταμάτησα να διαβάζω διότι το άρθρο είχε γίνει ένα σουρεαλιστικό μυθιστόρημα επιστημονικής φαντασίας...

+1

 

[Rage_unseen]

Ένα δωρεάν plugin της AVG AntiVirus παρέκαμπτε την ασφάλεια της ίδιας της Google στον Chrome Browser με αποτέλεσμα να υπάρχει περίπτωση να έχουν εκτεθεί το ιστορικό και άλλα προσωπικά δεδομένα χρηστών του στο Internet.

...

 

 

Γελανε κ οι πετρες στον πλουτωνα ξργω

[S1eepwalker]

Η Google πιο πιθανό είναι να τραβάει ζόρι που εκτέθηκαν τα προσωπικά δεδομένα χρηστών για εμπορική αξιοποίηση από άλλους και όχι μόνο από την ίδια.

[dinko]

360 Total Security FOR EVER! Try it

[eliasjuve]

Η Google πιο πιθανό είναι να τραβάει ζόρι που εκτέθηκαν τα προσωπικά δεδομένα χρηστών για εμπορική αξιοποίηση από άλλους και όχι μόνο από την ίδια.

 

 Πολύ σωστός!!! Μα να κλέβει ο κάθε πουθενάς αυτά που με κόπο και ιδρώτα έχει κατασκοπεύσει η ίδια..;

  Πάντως πέρα από την πλάκα καλά έκανε η γοογλε!

[music_lover]

Εχει να χτυπησει alarm το free antivirus μου εδω και καμια 10αρια χρονια και κανω καθημερινη χρηση τουλαχιστον 2 ωρες ημερησιως μονο για σερφαρισμα. Αν καθεσαι και πατας κλικ σε καθε παλιοsite τοτε εισαι αξιος της μοιρας σου. Ενα καλο pop up blocker χριεαζεσαι και τιποτε αλλο και λιγη προσοχη κατα την εγκατασταση διαφορων προγραμματων, δεν πατάμε συνεχεια next,next,ok, διαβάζουμε και τι γραφουν τα installers.

[Hannibal_Lector]

Η Google πιο πιθανό είναι να τραβάει ζόρι που εκτέθηκαν τα προσωπικά δεδομένα χρηστών για εμπορική αξιοποίηση από άλλους και όχι μόνο από την ίδια.

 

χααχχα, έτσι, και από την άλλη προκαλεί γέλιο και η google και η avg με τον τρόπο που λειτουργούνε, από την μία η google που με ένα απλό plugin "σπάει" η ασφάλεια της (ποια? λέμε τώρα), και από την άλλη η avg που είναι ο σεκιουριτάς που ανοίγει την πόρτα στους κλέφτες!

[νικος-97]

σοβαρα υπαρχουν ακομα ατομα που εχουν avg? xD οτι χειροτερο στον πλανητη ειναι το avg.....