В Chrome 136 устранят 20-летнюю уязвимость

Компания Google решила исправить в версии Chrome 136 уязвимость, которая позволяла сайтам просматривать историю браузера пользователя. Однако первые атаки, связанные с данной проблемой, произошли 23 года назад.

Специалисты отмечают, что цель атаки сходится на считывании цветовых значений веб-ссылок на странице, чтобы узнать, посещались ли ранее связанные страницы. Она использует элементы веб-сайтов – HTML-файлы, описывающие структуру страницы, файлы JavaScript, содержащие код для интерактивности, и CSS-файлы, описывающие стили страниц.

CSS включает псевдокласс – :visited – который можно применять к якорям (<a>) или элементам области, имеющим свойство href (ссылку или URL). Если :visited определен в файле CSS, браузер отображает ссылки на ранее посещенные страницы в указанном цвете на основе наличия этих ссылок в файле истории браузера.

Веб-издатели и третьи лица использовали этот метод для представления ссылок на веб-странице посетителю, а затем проверяли, как браузер посетителя установил цвет для этих ссылок на отображаемой веб-странице.

Впервые решение проблемы предложили около 15 лет назад, но были разработаны другие способы проверки информации о цвете ссылок помимо getComputedStyle. В итоге новые меры лишь немного замедляли атаки, но не устраняли их вовсе.

Это не единственная проблема для американской компании. Так, хакеры развернули в Google Play мошенническую кампанию Vapor. Они использовали вредоносные приложения для показа рекламы и размещения фишинговых ссылок.