Phần mềm Kaspersky Antivirus chứa lỗ hổng bảo mật theo dõi người dùng

Nhà nghiên cứu bảo mật Ronald Eikenberg (Đức) vừa phát hiện lỗ hổng trên phần mềm bảo mật Kaspersky Antivirus. Trong đó có một số nhận dạng liên kết người dùng với những trang web họ từng truy cập trong 4 năm qua. Đồng thời cho phép các trang web đó và một số dịch vụ bên thứ ba theo dõi người dùng – ngay cả khi thiết bị đã được chặn hoặc xóa cookie.

Hiện nay, sự thành công của hầu hết công ty tiếp thị, dịch vụ quảng cáo và phân tích dữ liệu đều dựa trên việc theo dõi người dùng, xác định danh tính, lập hồ sơ sở thích của họ để cung cấp quảng cáo đúng mục tiêu. Đa số thông tin này đều được thu thập dựa trên cookie của bên thứ ba (đặt trên một tên miền khác với tên miền người dùng đang duyệt). Các công ty như Google và Facebook sẽ thu thập dấu vân tay để theo dõi hoạt động của bạn từ trang web này sang website khác.

Lỗ hổng bảo mật được báo cáo có tên mã CVE-2019-8286, tồn tại trên module quét URL tích hợp trong phần mềm chống virus Kaspersky URL Advisor. Thông thường, giải pháp bảo mật Kaspersky Internet sẽ đưa tập tin JavaScript được lưu trữ từ xa trực tiếp vào mã HTML của tất cả trang web người dùng truy cập trên mọi trình duyệt – ngay cả trong chế độ ẩn danh – để kiểm tra xem trang đó có thuộc danh sách đáng ngờ hoặc địa chỉ web lừa đảo hay không.

Hầu hết giải pháp bảo mật Internet hiện nay đều giám sát những trang web chứa nội dung độc hại theo cùng một cách. Tuy nhiên, Eikenberg nhận thấy URL của tập tin JavaScript này chứa một chuỗi duy nhất cho mọi người dùng Kaspersky. Đây là một loại UUID (Mã định danh duy nhất toàn cầu) rất dễ bị các trang web, dịch vụ phân tích và quảng cáo của bên thứ ba khác nắm bắt. Điều này khiến quyền riêng tư của người dùng có nguy cơ bị xâm phạm.

Đây là một ý tưởng khá tệ, vì các tập lệnh khác chạy trong context của tên miền có thể truy cập mã HTML bất cứ lúc nào và chèn Kaspersky ID vào đó. Nghĩa là trang web chỉ cần đọc Kaspersky ID và theo dõi người dùng. Mặt khác, nghiên cứu cho thấy ID vẫn tồn tại và không thay đổi sau vài ngày. Cho thấy ID có thể được gán vĩnh viễn cho một máy tính cụ thể.

Tháng trước Kaspersky đã thừa nhận lỗ hổng bảo mật này và vá lỗi bằng cách gán giá trị không đổi (FD126C42-EBFA-4E12-B309-BB3FDD723AC1) cho mọi người dùng thay vì sử dụng UUID trong URL JavaScript.

Tuy nhiên, Kaspersky URL Advisor vẫn cho phép các trang web và dịch vụ bên thứ ba tìm hiểu xem khách hàng có cài đặt phần mềm Kaspersky trên hệ thống hay không. Theo Eikenberg, tính năng này vẫn có thể bị những kẻ lừa đảo và tội phạm mạng lợi dụng.

Các bản cập nhật của Kaspersky Antivirus, Internet Security, Total Security, Free Antivirus và Small Office Security đã được gửi tới khách hàng bị ảnh hưởng. Tuy nhiên, nếu người dùng muốn tắt tính năng theo dõi này hoàn toàn thì có thể vô hiệu hóa URL Advisor bằng cách truy cập vào Setting > Additional > Network, sau đó bỏ chọn Traffic processing như màn hình dưới đây.

Theo The Hacker News