Zranitelnost, která umožňuje rozšířením Chrome spouštět externí kód, bez ohledu na oprávnění

Byl zveřejněn Metoda, která umožňuje jakémukoli rozšíření pro Chrome provádět externí JavaScriptový kód bez poskytnutí rozšíření s rozšířenými oprávněními (bez unsafe-eval a unsafe-inline v manifest.json). Oprávnění předpokládají, že bez unsafe-eval může rozšíření vykonávat pouze kód, který je součástí místní dodávky, ale navrhovaná metoda umožňuje toto omezení obejít a vykonat v kontextu rozšíření jakýkoli JavaScript načtený z externího webu.

V současné době společnost Google uzavřela veřejný přístup k hlášení o problému, ale v archivu se udržel příklad kódu pro zneužití problému. Způsob je obdobný obejití omezení script-src ‘self’ v CSP spočívá v nahrazení značky script pomocí document.createElement(‘script’) a zahrnutí do něj externího obsahu pomocí funkce fetch, po které bude kód proveden v kontextu samotného rozšíření.

Zdroj: opennet.ru