AVG, l'estensione che restringeva la sicurezza

Un ricercatore di Google segnala che il plugin per Chrome WebTunein, dedicato alla navigazione sicura, avrebbe potuto agevolare una miriade di attacchi nei confronti dei suoi milioni di utenti. Il problema è stato risolto

Roma – Promette agli utenti di “notificare i risultati di ricerca non sicuri”, di “evitare i siti pericolosi”: l’estensione per Chrome WebTunein, proposta da AVG sul Chrome WebStore e fino a pochi giorni fa installata contestualmente alla soluzione antivirale dell’azienda, ha in realtà messo a rischio la privacy e la sicurezza di milioni di utenti.

A rilevare il problema, a segnalarlo nel quadro dell’ iniziativa Project Zero e a notificarlo all’azienda sviluppatrice il 15 dicembre è il ricercatore di sicurezza di Google Tavis Ormandy. Il plugin opera inviando ai server di AVG dati relativi alle sessioni di navigazione dell’utente per confrontarla con il proprio database di siti al fine di individuare le minacce, ma lo fa operando con numerose API JavaScript che prestano il fianco a vulnerabilità capaci di aprire la strada ad attacchi assortiti. Ormandy ha messo a punto un exploit per dimostrare ad AVG quanto fosse semplice appropriarsi dei cookie relativi all’autenticazione del sito di AVG, alle cronologie di navigazione dell’utente e ad altri dati personali, ha chiarito come fosse possibile sfruttare le falle dell’estensione attraverso siti non sicuri, per eseguire script potenzialmente pericolosi.

Il ricercatore spiega che il processo di installazione, particolarmente complesso, consente al plugin di sfuggire ai controlli operati dai sistema di sicurezza del Chrome Store. Ormandy, nel rivolgersi ad AVG, si interroga provocatoriamente riguardo all’opportunità di segnalare l’estensione come PuP, Potentially unwanted Program , vale a dire software non desiderabile.

AVG ha provveduto a fornire una prima soluzione al problema, limitandosi ad autorizzare le richieste da parte di domini che contenessero la stringa “avg.com”, restringendola poi a “mysearch.avg.com” e “webtuneup.avg.com. Un rimedio risolutivo solo nel caso in cui si assicuri che questi domini non siano compromessi da alcuna vulnerabilità XSS. La versione 4.2.5.169 dell’estensione rilasciata il 28 dicembre, segnala Ormandy, si può ritenere sicura.

Gaia Bottà

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • AxAx scrive:
    Facebook è il primo nemico di internet
    e sta cercando di farsene una propria versione tutat da solo.Facebook è il primo nemico al mondo di Internet
    • Mazzulatore scrive:
      Re: Facebook è il primo nemico di internet
      - Scritto da: AxAx
      e sta cercando di farsene una propria versione
      tutat da
      solo.Non e' il primo e nemmeno l'ultimo anche se piu' si va avanti e piu' diventa difficilealtri tentantivi famosiMSN (1995)in corso FacebookGoogle Baidumail.ru
      • panda rossa scrive:
        Re: Facebook è il primo nemico di internet
        - Scritto da: Mazzulatore
        - Scritto da: AxAx

        e sta cercando di farsene una propria versione

        tutat da

        solo.

        Non e' il primo e nemmeno l'ultimo anche se piu'
        si va avanti e piu' diventa
        difficile

        altri tentantivi famosi

        MSN (1995)

        in corso

        Facebook
        Google
        Baidu
        mail.rumail.ru perche'?
        • Mazzulatore scrive:
          Re: Facebook è il primo nemico di internet


          mail.ru perche'?non vedo nessuna differenza sono megaportali che vogliono concentrare tutto su di se, sono stati il piu' grande danno che finora ha subito la rete di fatto sostituendo/affiancando le compagnie telefoniche
          • panda rossa scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: Mazzulatore



            mail.ru perche'?


            non vedo nessuna differenza sono megaportali che
            vogliono concentrare tutto su di se, sono stati
            il piu' grande danno che finora ha subito la rete
            di fatto sostituendo/affiancando le compagnie
            telefonicheSara' perche' io uso mail.ru solo per avere una casella di posta fuori dal controllo americano e non utilizzo nient'altro di quel portale che e' scritto con caratteri non ascii?Che servizi offre mail.ru oltre ad una casella di posta gratuita?
          • Uno scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: panda rossa
            - Scritto da: Mazzulatore





            mail.ru perche'?





            non vedo nessuna differenza sono megaportali
            che

            vogliono concentrare tutto su di se, sono
            stati


            il piu' grande danno che finora ha subito la
            rete

            di fatto sostituendo/affiancando le compagnie

            telefoniche

            Sara' perche' io uso mail.ru solo per avere una
            casella di posta fuori dal controllo americano e
            non utilizzo nient'altro di quel portale che e'
            scritto con caratteri non
            ascii?

            Che servizi offre mail.ru oltre ad una casella di
            posta
            gratuita?Hai presente G+ e compagnia cantante ? Ecco hai un account su quello russo, sallo.
          • panda rossa scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: Uno

            Che servizi offre mail.ru oltre ad una
            casella
            di

            posta

            gratuita?

            Hai presente G+ e compagnia cantante ? Ecco hai
            un account su quello russo,
            sallo.Solo che sui siti che frequento non c'e' mica il pulsante per condividere su mail.ru, ma solo G+, f, D, e altre cose de noantri.Quindi tutto sommato la scelta di un account su mail.ru evita di farsi invischiare nella rete di profilazione dei siti occidentali.
          • Tre scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: panda rossa
            - Scritto da: Uno


            Che servizi offre mail.ru oltre ad


            una casella di posta gratuita?

            Hai presente G+ e compagnia cantante ?

            Ecco hai un account su quello russo, sallo.
            Solo che sui siti che frequento non c'e' mica il
            pulsante per condividere su mail.ru, ma solo G+,
            f, D, e altre cose de noantri.Questo perchè non frequenti siti in lingua russa, non hai la versione di Adblock in quella lingua che blocca i pulsanti ti VolcomekazSichiama...
            Quindi tutto sommato la scelta di un account su
            mail.ru evita di farsi invischiare nella rete di
            profilazione dei siti occidentali.Eh, bravo anche io lo uso da anni per quello, in'oltre c'è un altro vantaggio: lo spam lo riconosci a kilometri poichè è in russo.
          • panda rossa scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: Tre
            - Scritto da: panda rossa

            - Scritto da: Uno




            Che servizi offre mail.ru oltre ad



            una casella di posta gratuita?



            Hai presente G+ e compagnia cantante ?


            Ecco hai un account su quello russo,
            sallo.


            Solo che sui siti che frequento non c'e'
            mica
            il

            pulsante per condividere su mail.ru, ma solo
            G+,

            f, D, e altre cose de noantri.

            Questo perchè non frequenti siti in lingua russa,
            non hai la versione di Adblock in quella lingua
            che blocca i pulsanti ti
            VolcomekazSichiama...Certo che no. Non conosco il russo.Per questo mail.ru e' una mail relativamente sicura: non vengo profilato da loro perche' non frequento quella parte di rete, non vengo profilato da noi perche' appartengo ad una minoranza trascurabile.

            Quindi tutto sommato la scelta di un account
            su

            mail.ru evita di farsi invischiare nella
            rete
            di

            profilazione dei siti occidentali.

            Eh, bravo anche io lo uso da anni per quello,
            in'oltre c'è un altro vantaggio: lo spam lo
            riconosci a kilometri poichè è in
            russo.Ah, e' spam quella roba illeggibile? (rotfl)
          • Dodici scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: panda rossa
            - Scritto da: Tre

            Eh, bravo anche io lo uso da anni per quello,

            in'oltre c'è un altro vantaggio: lo spam lo

            riconosci a kilometri poichè è in russo.
            Ah, e' spam quella roba illeggibile? (rotfl)Quasi tutto, solo una volta è arrivata una mail (ovviamente in russo) a tutti gli utenti che accedevano da fuori russia di rispondere giustificando (ovviamente in russo) altrimenti sarebbero stati sospesi.Evidentemente tu non eri ancora iscritto al tempo.
          • panda rossa scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: Dodici
            - Scritto da: panda rossa

            - Scritto da: Tre



            Eh, bravo anche io lo uso da anni per
            quello,


            in'oltre c'è un altro vantaggio: lo
            spam
            lo


            riconosci a kilometri poichè è in russo.


            Ah, e' spam quella roba illeggibile? (rotfl)

            Quasi tutto, solo una volta è arrivata una mail
            (ovviamente in russo) a tutti gli utenti che
            accedevano da fuori russia di rispondere
            giustificando (ovviamente in russo) altrimenti
            sarebbero stati
            sospesi.
            Evidentemente tu non eri ancora iscritto al tempo.Oppure non accedo da fuori russia. ;)Chi puo' dirlo?
          • Quindici scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: panda rossa
            - Scritto da: Dodici

            - Scritto da: panda rossa


            - Scritto da: Tre





            Eh, bravo anche io lo uso da anni
            per

            quello,



            in'oltre c'è un altro vantaggio: lo

            spam

            lo



            riconosci a kilometri poichè è in
            russo.




            Ah, e' spam quella roba illeggibile?
            (rotfl)



            Quasi tutto, solo una volta è arrivata una
            mail

            (ovviamente in russo) a tutti gli utenti che

            accedevano da fuori russia di rispondere

            giustificando (ovviamente in russo)
            altrimenti

            sarebbero stati

            sospesi.

            Evidentemente tu non eri ancora iscritto al
            tempo.

            Oppure non accedo da fuori russia. ;)
            Chi puo' dirlo?XXXXX tua, frega XXXX, era solo pur parlè
          • aphex_twin scrive:
            Re: Facebook è il primo nemico di internet
            Tirare su una VPN per leggere email , vivendo in uno stato "democratico" ... questa é PARANOIA e masochismo allo stato puro. :| :|
          • Ventuno scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: aphex_twin
            Tirare su una VPN per leggere email , vivendo in
            uno stato "democratico" ...

            questa é PARANOIA e masochismo allo stato puro.
            :|
            :|Il fatto che l'idea sia venuta a te in effetti mica ci stupisce...
          • panda rossa scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: aphex_twin
            Tirare su una VPN per leggere email , vivendo in
            uno stato "democratico" ...


            questa é PARANOIA e masochismo allo stato puro.
            :|
            :|1) Lo so fare.2) Lo posso fare.3) E' gratis."...e il giorno che verranno a prendere te, nessuno protestera'." (cit.)
          • aphex_twin scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: panda rossa
            - Scritto da: aphex_twin

            Tirare su una VPN per leggere email ,
            vivendo
            in

            uno stato "democratico" ...





            questa é PARANOIA e masochismo allo stato
            puro.


            :|

            :|


            1) Lo so fare.Anch'io
            2) Lo posso fare.Anch'io
            3) E' gratis.
            Lo so
            "...e il giorno che verranno a prendere te,
            nessuno protestera'."
            (cit.)E perché mai dovrebbero venire a prendermi ?Se avró bisogno di nascondermi sapró come fare, oggi me la godo alla grande senza PARANOIE inutili.
          • panda rossa scrive:
            Re: Facebook è il primo nemico di internet
            - Scritto da: aphex_twin
            - Scritto da: panda rossa

            - Scritto da: aphex_twin


            Tirare su una VPN per leggere email ,

            vivendo

            in


            uno stato "democratico" ...








            questa é PARANOIA e masochismo allo
            stato

            puro.




            :|


            :|





            1) Lo so fare.

            Anch'io


            2) Lo posso fare.

            Anch'io


            3) E' gratis.



            Lo so


            "...e il giorno che verranno a prendere te,

            nessuno protestera'."

            (cit.)

            E perché mai dovrebbero venire a prendermi ?Perche' qualcuno ti avra' messo in tasca (nella mail) una bustina di polvere bianca (o immagine pedoXXXXX, vedi tu)
            Se avró bisogno di nascondermi sapró
            come fare, oggi me la godo alla grande senza
            PARANOIE
            inutili.Io me la godo alla grande molto piu' di te, e le "paranoie inutili" finiscono 3 secondi dopo la configurazione della mia connessione. Dopodiche' e' tutto trasparente.E ora una domandina facile facile: chi e' il XXXXXXXX che pur sapendo e potendo (per sua stessa ammissione), non prende una sacrosanta precauzione?
      • ... scrive:
        Re: Facebook è il primo nemico di internet
        - Scritto da: Mazzulatore
        - Scritto da: AxAx

        e sta cercando di farsene una propria versione

        tutat da

        solo.

        Non e' il primo e nemmeno l'ultimo anche se piu'
        si va avanti e piu' diventa
        difficile

        altri tentantivi famosi

        MSN (1995)LOL. Uno dei più fallimentari della storia, vi ricordate i "canali"? (rotfl)
  • ... scrive:
    facebook NON e'altruista, punto.
    semplicemente, al pari di microsoft che "regala" licenze alle scuole, anche facebook ha il sui meccanismo finto-altruista che serve a preparare nuovi gonzi da legare al proprio carro, tutto qui. si chiama "investo ora 1 per guadagnare 1000 domani".aspettarsi altriusmo da una multinazionale (per di piu' statunitense) e' come pensare di cavare sangue da un blocco di granito: tutto quello che fanno e' per soldi. anche le donazioni che fanno le fanno perche sono deducibili dalle tasse, per cui usano quei soldi per farsi belli di fronte al popolino.le uniche cose che gli usa regalano sono i proiettili (dal 1990 nella nuova eccitante variante all'uanio inpoverito, yeah!) che lasciano sul campo di battaglia.
  • ... scrive:
    facebook != internet
    Un acXXXXX limitato a Internet è meglio che nessun acXXXXX, per innescare un circolo virtuoso nella vita di miliardi di persone: è questa l'argomentazione con cui Facebook sta tentando di convincere l'India, e il mondo, ad abbracciare Free Basics, la piattaforma che, in un regime zero reting basato su accordi con gli operatori mobile, fornisce acXXXXX ad un ventaglio di servizi correlati al social network o selezionati dal social network.che tristezza, speravo nella Botta', e invece... BAH!
Chiudi i commenti