卡巴斯基桌面防毒軟體含有用戶可被追蹤的隱私漏洞

德國電腦雜誌c't 本周披露，Winodws版的卡巴斯基（Kaspersky）防毒軟體暗藏隱私漏洞，可供網站追蹤用戶行為。

該雜誌定期會測試不同的防毒軟體產品，一名安裝了卡巴斯基防毒軟體的編輯Ronald Eikenberg，意外在某個所造訪網站的程式碼中，看到來自卡巴斯基的JavaScript腳本程式，檢驗後發現它是卡巴斯基賦予每台電腦的ID。

於是只要是安裝了卡巴斯基的防毒軟體，不管是以Firefox、Edge或Opera瀏覽器造訪任何網站，這些網站都會被注入含有同樣ID的JavaScript。而且當Eikenberg以其它安裝了卡巴斯基防毒軟體的電腦造訪網站時，所呈現的ID便不同。

Eikenberg把它稱為Kaspersky ID，意謂著它是由卡巴斯基賦予每一台用戶電腦的身分，只要能讀取Kaspersky ID的網站，就能利用該ID來追蹤使用者行為，可得知該名使用者是否曾造訪過該站，不管是哪一家瀏覽器，即使是啟用無痕模式，都難逃被追蹤，有機會遭到行銷人員或駭客的濫用。

此一隱私漏洞，影響卡巴斯基自2015年秋天發表的所有消費者版本的Windows防毒軟體，從免費版到Kaspersky Internet Security與Total Security，也波及Small Office Security，估計影響數百萬名卡巴斯基用戶。

卡巴斯基在收到Eikenberg的通知之後，承認此一問題的存在，但指出相關攻擊太過複雜且無利可圖，不過Eikenberg卻認為這是個嚴重的漏洞，若駭客或行銷人員在4年前漏洞現身時，就打造一個網站來蒐集Kaspersky ID，現在應已具備強大的監控能力。

總之，卡巴斯基在Eikenberg的督促下分配了CVE-2019-8286編號予該漏洞，並於今年7月修補。

Eikenberg在卡巴斯基修補之後再度進行測試，發現卡巴斯基把原本每一台電腦都具備的ID改成產品ID，例如使用特定防毒軟體版本的用戶，都具備同樣的ID，使網站無法再辨識個別的用戶。但Eikenberg覺得這還是有危險性存在，例如駭客就能藉由判斷防毒軟體版本來客製化攻擊模式，亦再度向卡巴斯基提報漏洞。

不過，使用者也可在卡巴斯基防毒軟體的流量處理設定中，關閉「Inject script into web traffic to interact with web pages」功能，即能避免讓網站存取相關ID。