随着 Chrome 68 的发布，Google 在其浏览器上突出显示所有非 HTTPS 网站为 " 不安全 " 来源，这一举动使互联网更安全。

在更新之前，还有另一个重要的原因，使需要立即切换最新版本的 Chrome 网络浏览器成为必要之举。来自 Imperva 的安全研究员 Ray Masas发现 了一个 Web 浏览器漏洞，让攻击者发现只需诱骗你访问一个网站就可以获取其他网络平台（如 Facebook 和 Google）的一切数据 ，以及他们所需要的一切。该漏洞被标识为 CVE-2018-6177，利用了音频 / 视频 HTML 标签的弱点，并影响了由 "Blink 引擎 " 驱动的所有网络浏览器，这其中包括谷歌浏览器。

为了说明攻击情景，研究人员举了一个 Facebook 的例子，这是一个流行的社交媒体平台，收集有关用户的详细信息，包括年龄、性别、曾经去过的地点（位置数据）和兴趣，即喜欢和不喜欢什么。Facebook 为页面管理员提供帖子定位功能，允许他们根据时间、地点、性别和兴趣为特定帖子定义目标受众或受限制的受众。

攻击原理

为了证明这一漏洞，研究人员创建了多个 Facebook 帖子，包含了受限制群体的不同组合，以根据他们的年龄、地点、兴趣或性别对其进行分类。现在，如果网站将所有这些 Facebook 帖子嵌入网页，则会加载根据 Facebook 上与受限制的群众设置相匹配的个人资料数据，在访客端仅显示一些特定帖子。

例如，如果定义仅对 26 岁的男性 Facebook 用户且对黑客攻击或信息安全方面有兴趣可见，如果成功加载，攻击者可以潜在地了解访问者的个人信息，无论他们的隐私如何设置。尽管这个想法听起来非常简单并且令人震惊，但网站管理员无法直接确定是否有嵌入式帖子已成功加载特定访问者。

由于跨域资源共享（CORS）—— 一种浏览器安全机制，可以防止网站在未经明确许可的情况下阅读其他网站的内容。但是，Imperva 研究员发现，因为音频和视频 HTML 标签不会验证内容类型对于获取的资源或拒绝具有无效 MIME 类型的响应，攻击者可以在网站上使用多个隐藏的视频或音频标签来请求 Facebook 帖子。

虽然此方法不会按预期显示 Facebook 帖子，但它确实允许攻击者控制的网站（使用 JavaScript）测量跨源资源的大小和请求数量，以找出哪些特定帖子已成功从 Facebook 获取个人访客信息。

" 几个脚本同时运行 ， 每个脚本都在测试一个独特的限制 ，攻击者可以相对快速地挖掘大量关于用户的私人数据 "，" 我们发现通过工程站点返回的响应大小取决于当前记录的用户属性，可以使用此方法提取有价值的信息。"Masses 说。

谷歌安全团队的一名成员指出，该漏洞也可能对使用 API 获取用户会话特定信息的网站起作用。此漏洞的核心与另一个浏览器漏洞（今年 6 月已打补丁）有一些相似之处，该漏洞利用 Web 浏览器处理对视频和音频文件的跨源请求，允许攻击者读取用户的 Gmail 或私人 Facebook 消息的内容。

Imperva 研究员向 Google 报告了漏洞并提交了Poc 利用，Chrome 团队在 Chrome68 中修夏了此问题。因此，强烈建议 Chrome 用户将浏览器更新到最新版本（如果尚未更新）。