Браузеры на основе Chromium могут перезаписывать данные в буфер обмена без разрешения пользователя

Ср 31 Август 2022 14:25

Согласно отчету Malwarebytes , браузеры на основе Chromium могут помещать любые данные в буфер обмена ОС без разрешения пользователя.

Для сравнения, в Firefox и Safari прежде, чем веб-сайт сможет копировать содержимое в буфер обмена устройства, пользователь должен выделить контент на сайте и с помощью «Ctrl+C» скопировать его в буфер обмена. Chrome и другие браузеры на основе Chromium копируют данные в буфер без участия пользователя.

Чтобы убедиться в этом, нужно зайти на сайт Webplatform News и потом проверить содержимое буфера обмена, вставив его в пустой текстовый редактор, например, в блокнот. Если вы получите следующее сообщение в буфере обмена, браузер уязвим для несанкционированных манипуляций с буфером обмена:

«Здравствуйте, это сообщение находится в вашем буфере обмена, потому что вы посетили веб-сайт Webplatform News в браузере, который позволяет веб-сайтам записывать в буфер обмена информацию без разрешения пользователя. Извините за беспокойство. Для получения дополнительной информации об этой проблеме см. https://github.com/w3c/clipboard-apis/issues/182 ».

Для пользователей Windows 10 и Windows 11 есть способ извлечь перезаписанные элементы из буфера обмена с помощью менеджера буфера обмена, который необходимо сначала включить в настройках системы. Система -> Буфер обмена –> Журнал буфера обмена -> Вкл. Теперь Windows начнет отслеживать содержимое вашего буфера обмена и показывать историю буфера.

Эксперты заявили, что при вставке в чувствительное место, например, в терминале на Mac или в командную строку на Windows скопированный текст может стать вредоносной командой, которую злоумышленник сможет выполнить удаленно .

В своей статье о проблеме с буфером обмена разработчик Джефф Джонсон утверждает, что в версии Chrome 104 было случайно нарушено требование действий пользователя для записи в буфер обмена.

Уязвимость известна разработчикам, но ее исправление может быть отложено, поскольку она нарушает другие функции . Кроме того, добавление требований к пользовательским жестам для API-интерфейсов «readText» и «writeText» нарушает работу дудлов Google. Дудлы — это анимации, которые в определенные праздничные дни появляются на главной странице Google.

Специалисты Malwarebytes советуют принять следующие меры, чтобы оставаться в безопасности:

Статья уведена с www.securitylab.ru.

NetLan.ru жив уже 16 лет 261 день 16 часов 9 минут 37 секунд
СМК NetLan (Nettlesome Landloper) — некоммерческий интернет-ресурс.
Весь данный интернет-ресурс и всё созданное или размещённое на нём используется в личных целях.