Avast: biztonsági rés a biztonságos böngészőn

Az Avast több mint másfél hónap elteltével befoltozta a SafeZone technológiáján lévő biztonsági rést. A hiba könnyű prédája lehetett volna a kiberbűnözőknek, ha a sérülékenységnek korábban híre megy.
 

Számos biztonsági cég fejleszt olyan böngészőket, amelyek banki oldalak, illetve érzékeny adatokat kezelő webes alkalmazások esetében védenek a különféle fenyegetettségek ellen. Ezek azonban nem mindig sikerülnek olyan biztonságosra, mint azt a marketing anyagok sugallják. Nemrégen a Comodo Chromodo böngésző kapcsán került napvilágra egy sérülékenység, amely abból eredt, hogy a Comodo fejlesztői kikapcsolták az úgynevezett SOP (same origin policy) védelmet, amivel igen komoly kockázatnak tették ki a felhasználók adatait. Aztán a napokban az Avast SafeZone technológiája került rivaldafénybe.
 
Tavis Ormandy, a Google kutatója még decemberben fedezte fel, hogy a SafeZone kapcsán valami nagyon nincs rendben. Arra jött rá, hogy a Chromium alapokra épülő alkalmazás - az eredeti Chromiumtól eltérően - nagyon engedékeny bizonyos URL-ek tekintetében. Ennek következtében egy támadónak elég rávennie a felhasználót arra, hogy egy speciálisan összeállított hivatkozásra kattintson. Amennyiben ez megtörténik, akkor az elkövető előtt szabaddá válik az út a felhasználó számítógépének fájlrendszere felé. A kutató szerint a hacker fájlokat olvashat, sőt arra sincs szükség, hogy az állományok pontos helyét, nevét ismerje, ugyanis könyvtárlisták készítésére is lehetősége adódhat. Mindezek mellett a támadó különböző HTTP kéréseket is küldhet a szoftver felé, majd az elcsípett válaszokból cookie-kat kaparinthat meg, de bizonyos körülmények között további bizalmas adatokhoz is hozzáférhet.
 
Ormandy a sebezhetőségről december 18-án értesítette az Avast fejlesztőit, akik december 28-án kiadtak egy átmeneti javítást. A végleges frissítés megjelenésére azonban február 3-ig várni kellett. Az Avast érintett szoftverei automatikusan megkapták a javításokat.