25% протестированных расширений Google Chrome допускают кражу данных

25% протестированных расширений Google Chrome допускают кражу данных

Обнаружено, что 27 из 100 протестированных расширений Google Chrome уязвимы к атакам по извлечению данных (паролей, истории и т.д.) специально разработанными вредоносными сайтами и взломщиками открытых Wi-Fi сетей.



Трое исследователей безопасности вручную проанализировали 50 наиболее популярных расширений Chrome и прибавили к этому списку ещё 50 выбранных наугад, сообщает xakep.ru

"Мы искали уязвимости JavaScript-инъекций в ядре расширений (странице опций, бэкграундк и поп-апах); инъекция скриптов в ядре позволяет получить полный контроль над расширением", - объяснил Адриан Портер Фелт, один из исследователей. Чтобы доказать своё заявление, они разработали PoC–атаки для того, чтобы использовать уязвимости в своих целях.

Плохая новость состоит в том, что более 25% протестированных расширений были признаны уязвимыми, и семь из них используют более 300 000 пользователей.

Но есть и хорошая новость: 49 из 51 уязвимостей можно пропатчить просто используя одно из двух предложенных правил безопасности (Content Security Policies).

Эти правила различными способами предотвращают внедрение вредоносных кодов: запрещая использование eval функций, так что непроверенные данные не могут быть использованы в качестве кода; перемещая легальный JavaScript в файл .js , так что когда внедряются вредоносные скрипты, они отличаются от законных и их можно сразу распознать; и полностью или частично отвергая все внешние скрипты.

"В дополнение к основным ошибкам, расширения могут добавлять уязвимости на сайты", - отмечает Портер Войлок. "CSP не смогут предотвратить это, но разработчики должны помнить, что нельзя использовать innerHTML для модификации веб-сайтов. Вместо этого используйте innerText или DOM-методы, такие как AppendChild. Расширения также не должны добавлять HTTP-скрипты или CSS для сайтов HTTPS".

MAX официально получил статус соцсети

Мессенджер MAX с 18 марта 2026 года получил статус социальной сети. Это важно прежде всего для владельцев крупных каналов: теперь страницы и каналы с аудиторией более 10 тысяч пользователей смогут работать в рамках уже действующих правил Роскомнадзора для соцсетей и получать в MAX маркировку A+ после регистрации через госреестр.

С 1 ноября 2024 года владельцы страниц и каналов с аудиторией свыше 10 тысяч подписчиков должны подавать сведения о себе в Роскомнадзор через «Госуслуги», а с 1 января 2025 года эта регистрация стала обязательной.

Для страниц, которые не внесены в реестр, действуют ограничения: на них нельзя размещать рекламу и собирать пожертвования, а другим каналам нельзя репостить их контент.

Теперь этот механизм полноценно дотянули и до MAX. На справочном сайте мессенджера прямо указано, что отметка A+ означает официальную регистрацию канала или сообщества с аудиторией от 10 тысяч подписчиков в реестре Роскомнадзора. После подтверждения такой заявки в профиле канала появляется соответствующая маркировка.

Оформление выглядит так: сначала нужно подать заявление через «Госуслуги», а затем в самом MAX пройти через специальный бот, выбрать канал и указать номер заявки. После одобрения со стороны Роскомнадзора канал получает отметку A+.

MAX также отдельно объясняет, что при повторном создании каналов с такой отметкой нужно снова отправлять заявку через бот, а если заявку не одобрили — проверить, совпадает ли номер телефона профиля MAX с номером, указанным при регистрации в РКН.

На практике это означает, что MAX всё сильнее встраивается в уже существующую российскую систему регулирования публичных площадок. Для авторов больших каналов новость скорее прикладная: если они хотят легально размещать рекламу, собирать донаты и в целом не выпадать из правил, теперь им придётся проходить тот же путь регистрации, что и на других крупных платформах.

RSS: Новости на портале Anti-Malware.ru