ブラウザはすべてのパスワードをテキストで保存します | セキュリティーニュース | 見積も可能な脆弱性診断を行っている業者は情報発信にも力を入れております

Cyber​​Arkのセキュリティ研究者であるZeevBenPoratによると、Webブラウザは機密データと資格データ、およびCookieをクリアテキストでメモリに保存します。 この欠陥は、Google Chrome、Microsoft Edge、Brave、MozillaFirefoxなどのChromiumベースのブラウザに見られます。

データを取得するにはリモートアクセスで十分で、ターゲットデバイスへの物理アクセスは必要ありません。 抽出は、昇格されていない任意のプロセスから実行できます。 Ze'ev Ben Poratによると、「パスワードマネージャーに保存されているすべてのパスワードをメモリにロードする」ことができます。 Cookie情報がメモリに存在されている場合、2要素認証でもユーザーアカウントは保護されません。 データが抽出されると、セッションハイジャック(攻撃者がログイン中の利用者のセッションIDを不正に取得し、セッションを乗っ取る攻撃手法)が発生する可能性があります。

研究者は、クリアテキストで保存されているためブラウザのメモリから取得可能なログイン情報について説明しました。

 ・Webアプリケーションにログインするときに使用されるユーザー名とパスワード

 ・ブラウザが起動されてログインデータに保存されるときに自動的にメモリに読み込まれるURL +ユーザー名+パスワード情報

 ・特定のWebアプリケーションに属するすべてのCookie（セッションCookieを含む）

専門家がこの問題をGoogleに報告しましたが、Googleはこの問題を「解決不能」と回答しました。 その理由は、Chromiumは物理的なローカルアクセスを必要とする攻撃に関連する問題を修正できないためです。

Zeev Ben Poratは、問題を緩和する方法とこの問題を悪用するさまざまなタイプの攻撃について説明する追加の記事をCyber​​Arkブログに公開しました。 それ以外に、Windowsユーザーは、無料のProcessHackerツールを使用してブラウザーをテストできます。