Googleエンジニアがアンチウイルスメーカーの3つの「安全な」ブラウザのセキュリティホールを発見

Table Of Contents

• Googleエンジニアでバグ探しの達人がAvastium、Chromodo、Malwarebytesのアンチマルウェアブラウザに穴を見つける
• AVAST
• Comodo
• Malwarebytesアンチマルウェアブラウザ

Googleエンジニアでバグ探しの達人がAvastium、Chromodo、Malwarebytesのアンチマルウェアブラウザに穴を見つける

バグ探しの達人、タビス・オーマンディが再びその力を発揮しています。トレンドマイクロやAVG製品のバグや脆弱性を暴露した後、オーマンディは今、セキュリティ企業のAvast、Comodo、Malwarebytesが提供するソフトウェアに見つかった3つの問題を発見しました。オーマンディによれば、すべてのバグは異なり、これらのAVメーカーが提供する3つの「安全な」ブラウザを通じて、潜在的なハッカーが被害者のPCにアクセスすることを可能にする可能性があります。

AVAST

研究中、オーマンディはAvastのAvastiumブラウザが、Google Chromiumのフォークであることを発見し、潜在的な攻撃者が「リンクをクリックすることでファイルシステム上の任意のファイルを読み取る」ことを可能にしていることを明らかにしました。オーマンディは、この脆弱性が特別に作成されたJavaScriptウェブページを使用して、組み込みのチェックをバイパスし、悪意のある第三者がクッキーやメールを読み取ることを可能にする可能性があると述べています。

オーマンディは、12月8日にAvastに通知したが、Avastは2月3日にのみAvastiumブラウザのパッチ版をリリースしたと述べています。

Comodo

ユーザーがComodoソフトウェアスイートをインストールすると、ユーザーのChromeブラウザのインストールがComodoの独自のブラウザであるChromodoに置き換えられます。オーマンディは、Chromodoがインストールされると「すべてのショートカットがChromodoリンクに置き換えられ、すべての設定、クッキーなどがChromeからインポートされる。彼らはまた、DNS設定をハイジャックするなどの不正な行為を行う」と述べています。

Chromeは同一オリジンポリシーを運用しており、同じウェブサイトからのスクリプトのみが相互にアクセスできることを保証していますが、Chromodoはその保護を無効にし、ユーザーがマルウェアを含むウェブサイトによってプライベートデータを盗まれる危険にさらされることを許可しました。

Comodoは、ブラウザに問題があったのではなく、アドオンに問題があったと述べています。Comodoのディレクター、チャールズ・ジンコウスキーはeWeekに対し、同社は2月3日にアドオンなしの新しいバージョンのブラウザをリリースし、すべてのユーザーの問題を修正したと述べました。

Malwarebytesアンチマルウェアブラウザ

Malwarebytesの場合、オーマンディはそのアンチマルウェアブラウザが安全に更新をダウンロードしていないことを発見し、これによりユーザーが中間者攻撃にさらされる可能性があることを示しました。攻撃者は、会社の組み込みのチェックを模倣し、ユーザーのマシン上で自分のコードを実行することができました。

MalwarebytesのCEO、マルチン・クレチンスキーはブログ投稿で、オーマンディによって発見されたバグを認識しており、パッチのテスト段階にあると述べました。ブログによれば、パッチは3〜4週間以内にリリースされる予定です。

上記のブラウザのいずれかをPC/ラップトップにインストールしている場合は、最新バージョンまたはパッチをインストールするか、Malwarebytesの場合のように会社がパッチを発行するまで別のブラウザを使用してください。