Разширение на AVG за Chrome издава историята на търсенията

Тавис Орманди от Google Project Zero продължава да инспектира сигурността на популярни продукти за защита. Последната компания, която е обект на изследванията на Орманди е AVG.
 
По думите на Орманди, разширение за Chrome на AVG AntiVirus, което се инсталира автоматично на системата, излага на показ историята от посещаваните интернет адреси и други лични данни. Става дума за AVG Web TuneUp, което добавя в браузъра набор от уязвимости в браузъра, излагайки на риск повече от девет милиона системи на риск, на които към момента присъства разширението. Според Орманди, разширението добавя в браузъра множество API-та, които прихващат настройките за търсене и страницата на отворения нов подпрозорец. Проблемът е, че много от тези апликационно-програмни интерфейси (APIs) са счупени и освен, че разкриват историята на търсенията в Интернет, уязвимостите могат да се използват и за отдалечено изпълнение на код. Орманди, който съобщава на чешката компания за проблема и работи в тясно сътрудничество с тях да коригират грешките си, е успял да създаде експлойт за уязвимостта, крадяща бисквитки от avg.com. Макар и първоначалната версия, която подготвят от AVG да не е оправяла проблема, то в по-късната версия на AVG Web TuneUp – 4.2.5.169.

По-рано този месец стана ясно, че специалисти по информационна защита са се натъкнали на сериозна уязвимост в AVG Internet Security 2015, която деактивира важна характеристика на сигурността в Windows. Проблемът, който е открит и в Kaspersky Anti-Virus 2015 MR2 и Internet Security 2015 MR2, както и в McAfee VirusScan Enterprise 8.8 е бил изправен.