Chrome Uzantıları Güvenlik Açığıyla Karşı Karşıya
Popüler Chrome uzantıları, kullanıcı verilerini koruma vaadi vermesine rağmen, Symantec’in son analizine göre verileri şifrelenmemiş HTTP üzerinden iletiyor ve API anahtarları ile erişim belirteçlerini kodlarına gömüyor. Bu durum, özellikle halka açık Wi-Fi ağlarında “araya girme” (MITM) saldırılarına karşı büyük bir güvenlik açığı oluşturuyor.
thehackernews.com’un haberine göre Browsec VPN, Microsoft Editor, Trust Wallet ve SEMRush Rank gibi milyonlarca indirmeye sahip uzantılar, cihaz kimliği, işletim sistemi bilgisi veya tarayıcı dili gibi verileri herhangi bir şifreleme olmadan sunuculara gönderiyor.
Güvenlik araştırmacısı Yuanjing Guo, bu trafik üzerinde yetkisiz üçüncü kişilerin kolaylıkla dinleme yapabileceğini ve sahte işlemler başlatabileceğini belirtiyor.
Symantec’in bulgularına göre bazı uzantılar, API anahtarlarını JavaScript dosyalarına kodlanmış şekilde barındırarak Google Analytics 4, Microsoft Azure veya AWS S3 gibi hizmetlere doğrudan erişim sağlıyor. Bu durum, saldırganların geliştiricilere maliyet yüklemesine veya yasa dışı içerik depolamalarına olanak tanıyor.
InboxSDK gibi yaygın kullanılan dış kütüphaneler de en az 90 uzantıda kimlik bilgilerinin sızdırılmasına neden oluyor.
Güvenlik uzmanları, HTTP üzerinden veri gönderen uzantılardan kaçınılmasını ve API anahtarlarının güvenli sunucularda saklanmasını öneriyor. Kullanıcıların yüklü uzantılarını gözden geçirmesi ve güvenilir olmayan eklentileri kaldırması da tavsiye ediliyor.
