Webブラウザーでのプリフェッチ/プリロードはセキュリティリスクをもたらしますか？
今日、マルウェアを提供していると報告されているドメインの名前をグーグルで検索しました。検索結果が表示され（侵害されたドメインがリストの一番上にあります）、数秒以内にAVが一時ファイルでjsマルウェアを検出したことを警告しました。
私はグーグルで会社を検索しただけでした。クリックは行われませんでした。したがって、この検出はGoogleがプリフェッチを実行した結果であると想定していますChromeこれは悪意のあるファイルをロードしたに違いありません。
私の質問は次のとおりです。このマルウェアは実行できますか、それともプリフェッチ/プリロードページに存在する可能性のある安全メカニズムによってサンドボックス化されますか？
Googleで理解しているプリフェッチChromeは、DNSルックアップや静的コンテンツキャッシュなどを実行します。どの静的コンテンツをダウンロードするかを決定するには、プリフェッチするHTMLドキュメントを解析する必要があります。ブラウザが過去に悪意のあるHTMLペイロードに対して脆弱であることが知られている（シェルコードの実行につながるInternet Explorer CSSおよびHTML解析のバグ）。
次に、はい、プリフェッチは、意図していないページからコードを本質的にダウンロードして処理するという意味で、ユーザーにセキュリティリスクをもたらすと合理的に結論付ける必要があります。
私はプリフェッチされた処理ロジックが同じ起源のポリシーリクエストをまだ実施していると思いますが、プリフェッチロジックが通常のページロードにどのように分離されているかに応じて、悪意のあるページが存在する場合にのみ発生する脆弱性が存在する可能性があります直接アクセスするのではなく、プリフェッチします。
ページの読み込みがわずかに速いという多少制限された利点を考えると、既知の悪意のあるページを参照するページに頻繁にアクセスする可能性がある場合（たとえば、セキュリティ調査を行っているため）、プリフェッチを無効にすることをお勧めします。