Google Docs 存在安全漏洞 可使黑客窃取私人文档
日前，谷歌反馈工具中的存在安全漏洞，可使黑客窃取私人文档。该漏洞于7月9日被安全研究员Sreeram KL发现，他因此项发现获得了$ 3133.70的奖励。
Google的许多产品，包括Google Docs，都带有“发送反馈”或“帮助提升”的选项，用户可发送反馈反映相关问题。但反馈功能部署在Google官方网站（“ www.google.com”）中，并通过iframe元素集成到其他域中，该元素从“反馈”加载.googleusercontent.com弹出式窗口。”
这意味着，每当包含Google文档窗口的屏幕被截图时，图像都需要将每个像素的RGB值传输到父域（www.google.com），然后将这些RGB值重定向到反馈域，最终构造图像并将其以Base64编码格式发送回去。
Sreeram发现了传递到“ feedback.googleusercontent.com”方式中的漏洞，使黑客可以将框架修改为任意外部网站，进而窃取Google Docs屏幕截图。
值得注意的是，该漏洞源于Google Docs域中缺少X-Frame-Options标头，这使得黑客可以更改消息的目标来源并利用页面与其中的框架之间的跨域进行通信。
尽管此类 *** 攻击需要一定形式的用户交互，但利用程序可以轻松捕获上传的屏幕快照的URL并将其泄漏到恶意站点。这可以通过在恶意网站上的iFrame中嵌入Google Docs文件并劫持反馈弹出框以将内容重定向到黑客选择的域来实现。
在跨域通信期间未能提供目标源会引起安全人员的注意，因为它会公开将数据发送到任意网站。
Mozilla文档警示：“恶意站点可以在用户不知情的情况下更改窗口位置，进而拦截使用postMessage发送的数据。因此当使用postMessage将数据发送到其他窗口时，请始终指定确切的目标来源，而不是* 。”
消息及封面来源：The Hacker News，译者：江。
本文由 HackerNews.cc 翻译整理。
转载请注明“转自 HackerNews.c
“Google Docs 存在安全漏洞 可使黑客窃取私人文档” 的相关文章
开源倡议组织就俄乌冲突期间的乱象表态 不希望将开源工作“武器化”
在俄乌冲突爆发后的一个月时间里，许多组织机构纷纷颁布了针对俄罗斯的制裁。但是对于开源社区来说，将制裁的范围无限扩大，显然并不是声援乌克兰的最佳途径。开放源码倡议（Open Source Initiative）组织指出：尽管大多数软件开发者只是在运行时显示反战或亲乌克兰的信息，但还是有个别项目的维护者...
DNS 曝高危漏洞，影响数百万物联网设备
近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为...
针对 Okta 认证公司的黑客攻击使成众多大中型企业处于高度警戒状态
网络安全公司F-Secure正在对其企业安全业务进行品牌重塑，新名称为WithSecure，并设计了时髦的新标志。WithSecure以前被称为F-Secure Business，它将专注于企业安全产品和解决方案，而消费者安全产品和服务仍以现有的F-Secure名称提供。 据路透社报道，被全球数千家...
全球 76% 的公司在过去一年中曾遭遇因技术问题导致的业务中断
Atlas VPN的新研究显示，全球76%的公司在过去一年中遭遇过服务停机。原因包括系统崩溃、人为错误和网络攻击是造成停机的主要原因。此外，许多IT经理对越来越多的政治驱动的网络攻击感到担忧。 系统崩溃被认为是公司停机的首要原因，52%的人不得不处理这个问题。42.3%的IT经理认为人为错误是导致公...
2021 年加密货币相关犯罪创新高 规模达惊人 140 亿美元
时间已正式迈入 2022 年，分析公司 Chainalysis 表示在过去一年中与加密货币有关的犯罪达到了历史最高水平，非法地址获得了惊人的 140 亿美元。收到的绝大部分资金是通过诈骗、盗窃和暗网市场获得的，而另一个不断增长的被盗资金来源则是赎金。 非法资金从 2020 年的 78 亿美...
新型 iLoBleed Rootkit 攻击 HP 企业服务器，并携带数据擦除功能
Hackernews 编译，转载请注明出处： 我们发现一个以前未知的rootkit，它瞄准了惠普企业的Integrated Lights Out（iLO）服务器管理技术，并进行攻击，篡改固件模块并彻底清除受感染系统中的数据。 伊朗网络安全公司Amnpardaz本周记录了这一发现，这是iLO固件中...
评论列表
发表评论
