error crítico en la extensión de Evernote ha puesto a millones de usuarios en situación de riesgo

Al final de Mayo 2019, especialistas de la compañía Guardio encontraron peligrosa vulnerabilidad en la extensión de Evernote Web Clipper para Chrome.

Ros investigadores advirtieron que debido a la gran popularidad de Evernote fallo puede afectar tiene al menos 4,600,000 usuarios.

Vulnerabilidad recibido un identificador CVE-2019-12.592 y el estado crítico. El error es UXSS (secuencias de comandos entre sitios universales), que permite pasar por el Política de Origen misma (COMPENSACIÓN) del navegador y le da la capacidad atacante para ejecutar código arbitrario en nombre de la víctima.

“Un error de codificación lógica hizo que es posible romper los mecanismos de dominio de aislamiento y ejecutar código en nombre del usuario – la concesión de acceso a la información confidencial del usuario no se limita al dominio de Evernote”, - especialistas Guardio reportados.

Como resultado de este ataque, los datos de usuario asociados con otros sitios que visitó no está protegido. Atacante puede obtener acceso a los datos de autenticación, información financiera, conversaciones personales en las redes sociales, mensajes de correo electrónico, galletas, y así.

Todo esto logra mediante la reorientación de las víctimas a un recurso controlado por los atacantes, cargar los iframes ocultos, dirigida a los diversos recursos de terceros. El exploit fuerzas Evernote para inyectar código malicioso en todos los marcos flotantes, y la carga útil roba la información necesaria de los atacantes.

Un ilustrativos PoC ataque por los investigadores sobre esta vulnerabilidad puede verse a continuación.

“Esta vulnerabilidad es un testimonio de la importancia de tratar las extensiones del navegador con mucho cuidado y sólo la instalación de extensiones de fuentes de confianza”, - la conclusión de los investigadores Guardio.

desarrolladores de Evernote ahora han eliminado por completo el problema. Los usuarios que tienen la versión de Evernote Web Clipper 7.11.1 o superior instalado son totalmente seguros.

Cómo comprobar si mi cuenta es privada?

Evernote ha emitido una solución y una nueva versión se ha lanzado a su users.To ver si tiene la versión más reciente, diríjase a la página de extensión de Chrome en Evernote Cromo://extensiones /?id = pioclpoplcdbaefihamjohnefbikjilc (tiene que ser copiado manualmente en la barra de direcciones por razones de seguridad) y asegurarse de que los programas de “versión” 7.11.1 o mayor.

Fuente: https://guard.io/blog

Acerca de Trojan Killer

Trojan Killer llevar portátil en su dispositivo de memoria. Asegúrese de que usted es capaz de ayudar a su PC resistir cualquier amenaza cibernética donde quiera que vaya.

también puedes ver

MageCart en la plataforma de nube Heroku

Los investigadores encontraron Varios MageCart Web skimmers En Heroku Cloud Platform

Investigadores de Malwarebytes informaron sobre la búsqueda de varios skimmers MageCart web en la plataforma de nube Heroku …

Android Spyware CallerSpy

máscaras spyware CallerSpy como una aplicación de chat Android

expertos de Trend Micro descubrieron que el malware CallerSpy, que enmascara como una aplicación de chat y Android, …

Deja una respuesta