5 月下旬,有安全研究人员发现谷歌 Chrome 中存在严重漏洞,影响所有主要操作系统(包括 Windows,Mac 和 Linux)的网页浏览软件。
在没有透露有关该漏洞任何技术细节的情况下,Chrome安全团队在本周三(6月6日)发布的一篇博客文章中指出,该漏洞被追踪为CVE-2018-6148,是由于浏览器错误处理CSP响应头导致的。
CSP,英文全称Content Security Policy,指的是内容安全策略。

CSP官网是这样介绍它的:“The new Content-Security-Policy HTTP response header helps you reduce XSS risks on modern browsers by declaring what dynamic resources are allowed to load via a HTTP Header.”

大体意思说的是,通过在HTTP的响应头中设定CSP规则,可以规定当前网页能够加载的资源的白名单,从而减少网页遭受跨站脚本(XSS)攻击的风险。因此,CSP可以说是一个在现代浏览器加载资源白名单的安全机制,只有响应头中白名单里列出的资源才能够被加载和执行,从而给网页添加额外的安全层。

由于谷歌Chrome浏览器对CSP响应头的错误处理,导致攻击者能够在任何目标网页上执行跨站点脚本、点击劫持和其他类型的代码注入攻击。

Chrome 安全团队接到漏洞报告后,将其列为 CSP 头相关的漏洞,并表示目前将保留漏洞细节,在大部分用户更新修复之后才会放出。目前,针对Windows,Mac 和Linux 操作系统的最新稳定版 Chrome 67.0.3396.79 已将漏洞补丁推送给用户,提醒用户尽快更新。

google chrome update Chrome 曝出最新高危漏洞,需尽快更新修复

本文地址:http://www.51php.com/safety/26836.html

喜欢本文或觉得本文对您有帮助,请分享给您的朋友 ^_^

阅读本文的人还阅读: