SquareX изилдөөчүлөрү Chrome кеңейтүүлөрүнө OAuth чабуулун ири бузуулардан бир нече күн мурун ашкерелешти

PALO ALTO, Калифорния, АКШ, 30-декабрь, 2024-жыл/CyberNewsWire/--SquareX, тармактагы биринчи Браузерди аныктоо жана жооп берүү (BDR) чечими, браузердин коопсуздугун камсыз кылууда алдыңкы орунда турат.

Болжол менен бир жума мурун, SquareX билдирди Chrome кеңейтүүсүн иштеп чыгуучуларга багытталган масштабдуу чабуулдар Chrome дүкөнүнөн Chrome кеңейтүүсүн басып алууга багытталган.

2024-жылдын 25-декабрында Chrome дүкөнүндө Cyberhaven браузеринин кеңейтилишинин зыяндуу версиясы жарыяланган, ал чабуулчуга аутентификацияланган сеанстарды басып алууга жана купуя маалыматты эксфильтрациялоого мүмкүндүк берген.

The зыяндуу кеңейтүү Cyberhaven тарабынан өчүрүлгөнгө чейин 30 сааттан ашык жүктөө үчүн жеткиликтүү болгон. Маалыматтын жоголушун алдын алуу боюнча компания басма сөзгө кайрылганда, анын таасири тууралуу комментарий берүүдөн баш тартты, бирок кеңейтүүнүн 400,000ден ашуун колдонуучулары бар. Chrome дүкөнү кол салуу учурунда.

Тилекке каршы, чабуул SquareXтин изилдөөчүлөрүндөй болуп өттү аныкталган менен окшош кол салуу а видео Cyberhaven бузуудан бир жума мурун бүт чабуул жолун көрсөтүү.

Чабуул Chrome Дүкөнүнүн атын жамынган фишинг электрондук каты менен башталат, анда платформанын “Иштеп чыгуучу келишимин” болжолдуу түрдө бузуп, алуучудан кеңейтүүнү Chrome Дүкөнүнөн алып салууга жол бербөө үчүн саясаттарды кабыл алууга үндөгөн.

Саясат баскычын басканда колдонуучуга Google аккаунтун "Купуялык саясатынын кеңейтилишине" туташтыруу сунушталат, ал чабуулчуга иштеп чыгуучунун аккаунтундагы кеңейтүүлөрдү түзөтүүгө, жаңыртууга жана жарыялоого мүмкүнчүлүк берет.

Fig 1. Кеңейтүүнү иштеп чыгуучуларга багытталган фишинг электрондук почтасы

2-сүрөт. Иштеп чыгуучунун кеңейтүүсүн “түзөтүүгө, жаңыртууга же жарыялоого” уруксат сураган жасалма Купуялык саясатынын кеңейтүүсү

Кеңейтүүлөр чабуулчулар үчүн баштапкы кирүү мүмкүнчүлүгүн алуунун барган сайын популярдуу жолу болуп калды.

Себеби, көпчүлүк уюмдардын кызматкерлери кандай браузер кеңейтүүлөрүн колдонуп жатканы боюнча чектелген мүмкүнчүлүктөрү бар. Атүгүл эң катаал коопсуздук топтору, адатта, кеңейтүү ак тизмеге киргизилгенден кийин кийинки жаңыртууларга көз салышпайт.

SquareX кеңири изилдөө жүргүзүп, көрсөткөн DEFCON 32, MV3 ылайыктуу кеңейтүүлөр видео агымынын каналдарын уурдоо, үнсүз GitHub кызматташтыгын кошуу жана сеанс кукилерин уурдоо үчүн кантип колдонсо болот, жана башкалар.

Чабуулчулар зыянсыздай көрүнгөн кеңейтүүнү түзүп, кийинчерээк аны орнотулгандан кийин зыяндуу кеңейтүүгө айландырышы мүмкүн же жогорудагы чабуулда көрсөтүлгөндөй, жүз миңдеген колдонуучулары бар кеңейтүүгө мүмкүнчүлүк алуу үчүн ишенимдүү кеңейтүүнүн артында иштеп чыгуучуларды алдап коюшу мүмкүн.

Cyberhaven учурда чабуулчулар кеңейтүүнүн зыяндуу версиясы аркылуу бир нече веб-сайттар жана веб-тиркемелер аркылуу компаниянын эсептик дайындарын уурдай алышкан.

Иштеп чыгуучунун электрондук почталары Chrome дүкөнүндө ачык тизмеленгенин эске алсак, чабуулчулар бир эле убакта миңдеген кеңейтүү иштеп чыгуучуларын бутага алуу оңой.

Бул электрондук почталар, адатта, мүчүлүштүктөрдү кабарлоо үчүн колдонулат. Ошентип, атүгүл чоңураак компаниялардын кеңейтүүлөрү үчүн тизмеленген колдоо электрондук почталары, адатта, мындай чабуулдан шектенүү үчүн талап кылынган коопсуздукту билүү деңгээлине ээ эмес иштеп чыгуучуларга багытталат.

SquareX чабуулунун ачылышына жана эки жумага жетпеген убакыттын ичинде болгон Cyberhaven бузуусуна ылайык, компаниянын көптөгөн башка браузерлердин кеңейтүү провайдерлерине да ушундай эле чабуул жасалып жатат деп ишенүүгө күчтүү негизи бар. SquareX компанияларды жана жеке адамдарды браузердин кеңейтүүлөрүн орнотуудан же жаңыртуудан мурун кылдат текшерүүгө чакырат.

Fig 3. Кеңейтүүнү иштеп чыгуучулардын байланыш маалыматтары Chrome дүкөнүндө жалпыга жеткиликтүү

SquareX командасы бардык атаандаш коопсуздук артыкчылыктарынын арасында, айрыкча нөл күндүк чабуулдарга келгенде жумушчу күчүндөгү ар бир браузер кеңейтүүсүн баалоо жана көзөмөлдөө анча маанилүү эмес экенин түшүнөт.

де керсетулгендей видео , Cyberhavenдин бузулушуна катышкан жасалма купуялык саясаты колдонмосу эч кандай популярдуу коркунуч ленталары тарабынан аныкталган эмес.

SquareXтин Браузерди аныктоо жана жооп берүү (BDR) чечими коопсуздук топторунан бул татаалдыкты төмөндөтөт:

• Кызматкерлерге кокусунан Chrome Store аккаунтуңузга уруксатсыз кирүү мүмкүнчүлүгүн бербөө үчүн OAuth'тун уруксаты жок веб-сайттар менен иштешүүсүн бөгөттөө
• Жаңы, кооптуу уруксаттарды камтыган ар кандай шектүү кеңейтүү жаңыртууларын бөгөттөө жана/же белгилөө
• Терс сын-пикирлердин көбөйүшү менен шектүү кеңейтүүлөрдү бөгөттөө жана/же белгилөө
• Капталдан жүктөлгөн кеңейтүүлөрдүн орнотууларын бөгөттөө жана/же белгилөө
• Компаниянын саясатынын негизинде тез бекитүү үчүн уруксат берилген тизмеден тышкаркы кеңейтүү орнотууларына болгон бардык сурамдарды жөнөкөйлөштүрүү
• Уюмдун кызматкерлери тарабынан орнотулган жана колдонулган бардык кеңейтүүлөрдө толук көрүнүш

SquareX негиздөөчүсү Вивек Рамачандран эскертет: "Ошол OAuth чабуулуна окшош серепчи кеңейтүүлөрүнө багытталган идентификациялык чабуулдар көбүрөөк жайылат, анткени кызматкерлер жумушта жемиштүү болуу үчүн көбүрөөк браузерге негизделген куралдарга таянышат. Бул чабуулдардын окшош варианттары мурун Google Drive жана One Drive сыяктуу колдонмолордон булуттагы маалыматтарды уурдоо үчүн колдонулган жана биз чабуулчулар серепчи кеңейтүүлөрүн колдонууда креативдүүлүктү гана көрөбүз. Компаниялар сергек болуп, кызматкерлердин өндүрүмдүүлүгүнө тоскоол болбостон, алардын жеткирүү чынжырынын тобокелдигин азайтуулары керек, аларды туура браузердин түпкү шаймандары менен жабдышат.

SquareX жөнүндө:

SquareX уюмдарга реалдуу убакытта алардын колдонуучуларына каршы болуп жаткан кардар тараптын веб чабуулдарын аныктоого, басаңдатууга жана коркутууга жардам берет.

SquareXтин тармактагы биринчи Браузерди аныктоо жана жооп кайтаруу (BDR) чечими браузердин коопсуздугуна чабуулга багытталган мамилени колдонот, бул ишкана колдонуучуларын зыяндуу QR коддору, Браузердеги браузер фишинг, макро негизиндеги кесепеттүү программа сыяктуу өркүндөтүлгөн коркунучтардан коргойт. жана зыяндуу файлдарды, веб-сайттарды, скрипттерди жана бузулган тармактарды камтыган башка веб-чабуулдар.

SquareX менен ишканалар подрядчыларга жана алыскы жумушчуларга ички тиркемелерге жана ишкананын SaaS коопсуздугун камсыздай алат жана BYOD / башкарылбаган түзмөктөрдө браузерлерди ишенимдүү серептөө сессияларына айландыра алат.

Байланыш

PR жетекчиси

Джунис Лью

SquareX

[email protected]