Chrome הדליף סיסמאות משדות תצוגה מקדימה של קלט מוסתרים

זוהתה בעיה בדפדפן Chrome עם נתונים רגישים שנשלחים לשרתי גוגל כאשר מצב בדיקת האיות המתקדם מופעל, הכולל בדיקה באמצעות שירות חיצוני. הבעיה מופיעה גם בדפדפן Edge בעת שימוש בתוסף Microsoft Editor.

התברר שהטקסט לאימות מועבר בין היתר מטפסי קלט המכילים נתונים חסויים, לרבות משדות המכילים שמות משתמש, כתובות, מייל, נתוני דרכון ואפילו סיסמאות, אם שדות הזנת הסיסמה אינם מוגבלים בתקן תג " " לדוגמה, הבעיה מובילה לשליחת סיסמאות לשרת www.googleapis.com אם האפשרות להציג את הסיסמה שהוזנה מופעלת, מיושמת ב-Google Cloud (Secret Manager), AWS (Secrets Manager), Facebook, Office 365, Alibaba שירותי ענן ו-LastPass. מתוך 30 האתרים הידועים שנבדקו, כולל רשתות חברתיות, בנקים, פלטפורמות ענן וחנויות מקוונות, נמצאו 29 דליפות.

ב-AWS וב-LastPass, הבעיה כבר נפתרה במהירות על-ידי הוספת הפרמטר "spellcheck=false" לתג "input". כדי לחסום שליחת נתונים בצד המשתמש, עליך להשבית בדיקה מתקדמת בהגדרות (סעיף "שפות/בדיקת איות/בדיקת איות משופרת" או "שפות/בדיקת איות/בדיקת איות משופרת", בדיקה מתקדמת מושבתת כברירת מחדל).

1

מקור: OpenNet.ru