隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击

Android 5.26.0系统中，开源的私人浏览器DuckDuckGo被发现存在漏洞可导致攻击，攻击者可通过该漏洞利用URL欺骗的方式发动攻击，目前该浏览器的安装量已超过500万。

安全研究员Dhiraj Mishra将这个漏洞编号为CVE-2019-12329，并通过HackOne平台的漏洞赏金计划向该应用的安全团队通知漏洞的存在。研究人员表示，他通过特定的JavaScript页面欺骗了DuckDuckGo浏览器的omnibar完成了漏洞验证，该页面使用setInterval函数，使其每10到50毫秒便可重新加载一个URL。中国菜刀

虽然真正的DuckDuckGo.com网站会在每50毫秒自动加载一次，但其内部的HTML会被修改为完全不同的内容用于甄别。

代码证明

研究人员表示，这个漏洞是在2018年10月31日通过HackOne平台提交给该浏览器的安全团队的，最初其威胁级别是高危，直至2019年5月27日，才得出最后的结论：这个漏洞的威胁级别并不算高危。天空彩

潜在的攻击者可以通过更改浏览器地址栏中显示的URL来欺骗用户，使他们认为自己正在浏览安全的网页，从而执行URL欺骗攻击。

DuckDuckGo omnibar的PoC

因此，不知情的用户可能会被重定向至各种由攻击者伪造的网站页面，而这些网站可能会是网络钓鱼、恶意广告，又或者是恶意软件植入，其最终的目标都会是目标用户的数据信息。

在5月初，安全研究员Arif Khan还发现UC浏览器和UC浏览器mini版也存在类似的URL欺骗攻击漏洞，而这两款App共计已安装了6亿多次。

Arif Khan表示，URL欺骗攻击是最恼人的钓鱼攻击，因为这原本应当是用户识别网站的唯一方法。隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击

隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击相关推荐

LibreOffice、OpenOffice 漏洞可导致黑客欺骗已签名文档
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 LibreOffice 和 OpenOffice 推出更新,修复了一个漏洞,它可导致攻击者操纵看似由可信来源签名的文档. 尽管该漏洞被评级为中危 ...
浏览器安全检查己通过_小米薄荷浏览器URl欺骗漏洞（CVE-2019-10875）的安全修复被绕过...
前几日,网络上曝出小米薄荷浏览器存在URL欺骗漏洞,攻击者可把恶意链接伪装成权威网站的URL,对受害者进行钓鱼攻击.小米公司在收到报告后迅速发布了安全补丁,修复了这一漏洞.但近期,又有人曝出该安全补丁 ...
多个高危漏洞可导致 Chrome 浏览器被黑
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队谷歌更新 Chrome Web 浏览器,共修复了8个漏洞,其中4个事高危级别:3个是释放后使用漏洞,可导致攻击者在浏览器内存中生成错误 ...
严重的 iOS 漏洞可导致拒绝服务或任意代码执行，苹果已修复
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士苹果发布安全更新,解决数十个 iOS 和 macOS 漏洞,其中包括一个严重的名为 "WiFiDemon" 的 iOS ...
Brave 安全隐私浏览器
文章目录 Brave浏览器什么是Brave浏览器和其他浏览器对比参考 Brave浏览器官网:https://www.brave.com https://github.com/brave/bra ...
android 自由浏览器下载地址,安卓浏览器现重大漏洞
原标题:安卓浏览器现重大漏洞 UC浏览器成唯一幸存者近日,有国外安全研究者爆出了安卓系统上浏览器安全机制绕过漏洞(CVE-2014-6041),并且提供了相应的漏洞测试代码.国内著名安全漏洞平台乌云 ...
MongoDB数据库因安全漏洞，导致Family Locator泄露二十多万名用户数据
摘要:本月第二次,未受保护的MongoDB数据库因大量安全漏洞而导致敏感信息泄露,受欢迎的家庭跟踪应用程序Family Locator已经暴露了超过238,000名用户的实时未加密位置数据. 该应用程 ...
CPU漏洞可导致RSA被攻击
[赛迪网讯]消息,据国外媒体报道,以色列魏兹曼科学院教授Adi Shamir近日表示,PC处理器在理论上存在的数学漏洞将导致RSA加密算法遭到攻击,从而使全球电子商务陷入灾难. 目前,RSA算法被广泛 ...
余承东吐槽苹果续航；微软 IE 浏览器被曝漏洞；React Native 0.61.0 发布 | 极客头条...
快来收听极客头条音频版吧,智能播报由标贝科技提供技术支持. 「CSDN 极客头条」,是从 CSDN 网站延伸至官方微信公众号的特别栏目,专注于一天业界事报道.风里雨里,我们将每天为朋友们,播报最新鲜有 ...
堪比“震网”：罗克韦尔PLC严重漏洞可导致攻击者在系统中植入恶意代码
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士罗克韦尔自动化公司的可编程逻辑控制器 (PLCs) 和工程工作站软件中存在两个新的安全漏洞(CVE-2022-1161 和 CVE-2022-1 ...

隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击

隐私浏览器DuckDuckGo爆出漏洞，可导致URL欺骗攻击相关推荐

最新文章

热门文章