示意圖,Kaspersky Internet Security圖示(翻攝自https://support.kaspersky.com/kis19/ecourse)

德國電腦雜誌c't 本周披露,Winodws版的卡巴斯基(Kaspersky)防毒軟體暗藏隱私漏洞,可供網站追蹤用戶行為。

該雜誌定期會測試不同的防毒軟體產品,一名安裝了卡巴斯基防毒軟體的編輯Ronald Eikenberg,意外在某個所造訪網站的程式碼中,看到來自卡巴斯基的JavaScript腳本程式,檢驗後發現它是卡巴斯基賦予每台電腦的ID。

於是只要是安裝了卡巴斯基的防毒軟體,不管是以Firefox、Edge或Opera瀏覽器造訪任何網站,這些網站都會被注入含有同樣ID的JavaScript。而且當Eikenberg以其它安裝了卡巴斯基防毒軟體的電腦造訪網站時,所呈現的ID便不同。

Eikenberg把它稱為Kaspersky ID,意謂著它是由卡巴斯基賦予每一台用戶電腦的身分,只要能讀取Kaspersky ID的網站,就能利用該ID來追蹤使用者行為,可得知該名使用者是否曾造訪過該站,不管是哪一家瀏覽器,即使是啟用無痕模式,都難逃被追蹤,有機會遭到行銷人員或駭客的濫用。

此一隱私漏洞,影響卡巴斯基自2015年秋天發表的所有消費者版本的Windows防毒軟體,從免費版到Kaspersky Internet Security與Total Security,也波及Small Office Security,估計影響數百萬名卡巴斯基用戶。

卡巴斯基在收到Eikenberg的通知之後,承認此一問題的存在,但指出相關攻擊太過複雜且無利可圖,不過Eikenberg卻認為這是個嚴重的漏洞,若駭客或行銷人員在4年前漏洞現身時,就打造一個網站來蒐集Kaspersky ID,現在應已具備強大的監控能力。

總之,卡巴斯基在Eikenberg的督促下分配了CVE-2019-8286編號予該漏洞,並於今年7月修補

Eikenberg在卡巴斯基修補之後再度進行測試,發現卡巴斯基把原本每一台電腦都具備的ID改成產品ID,例如使用特定防毒軟體版本的用戶,都具備同樣的ID,使網站無法再辨識個別的用戶。但Eikenberg覺得這還是有危險性存在,例如駭客就能藉由判斷防毒軟體版本來客製化攻擊模式,亦再度向卡巴斯基提報漏洞。

不過,使用者也可在卡巴斯基防毒軟體的流量處理設定中,關閉「Inject script into web traffic to interact with web pages」功能,即能避免讓網站存取相關ID。


Advertisement

更多 iThome相關內容