Chrome の深刻なバク:悪意の Web サイトによるクリップボード上書きが証明された

Google Chrome bug lets sites write to clipboard without asking

2022/08/31 BleepingComputer — Chrome Version 104 で、事故とも言えるバグの混入が発生した。それは、訪問した Web サイトから、クリップボードへの書き込みイベントを承認するための、ユーザー要件が削除されるというものだ。この機能は、Google Chromeに限ったものではない。Safari と Firefox も、Web ページからシステムのクリップボードへの書き込みを許可しているが、ジェスチャーによる保護が施されている。

この問題について、Chrome の開発者も認識していつが、現時点では修正されていないため、モバイル/デスクトップ用の Google Chrome ブラウザの現行バージョンには、この問題が残っている。

何が問題なのか?

システムのクリップボードは、OS 上に設置された一時的なデータの保存場所である。 通常、クリップボードはコピー/ペーストに使用されるため、銀行の口座番号/暗号通貨ウォレットの文字列/パスワードなどの機密情報が取り込まれる可能性が生じる。

この一時的な記憶領域が、任意のコンテンツで上書されると、ユーザーが悪意の行為の犠牲者となる危険性が発生する。

脅威アクターが、正規の暗号通貨サービスを装った、特別に細工された Web サイトへと、ユーザーを誘い込むこともある。支払いを行おうとするユーザーが、ウォレットのアドレスをクリップボードにコピーした後に、悪意の Web サイトは脅威アクターのアドレスをクリップボードに上書きできる。

一部の Web サイトでは、ユーザーが Web ページからコピーするテキストを選択すると、追加のコンテンツ (通常はページの URL) がクリップボードに追記される。しかし、この場合、目に見える表示やユーザーの操作なしに、クリップボードが任意のコンテンツでいっぱいになってしまう。

このような事態を防ぐには?

開発者の Jeff Johnson は、この話題に関するブログ記事で、クリップボードへの書き込みをサポートしている、すべての Web ブラウザの安全装置が、貧弱で不十分であると強調している。

クリップボード API 使用を許可を Web ページに与えるためのユーザーのジェスチャーとしては、コンテンツをコピーするキーボード・ショートカット (Ctrl+C) があるが、多くの場合において、その Web サイトと何らかのやり取りをするだけで十分だという。

Johnson は Safari/Firefox でテストを行い、下矢印キーの押下や、マウスのスクロールホイールを用いたサイト上での移動などで、読み込んだ Web ページに対してクリップボード書き込みの権限が与えられることを発見した。

これらの行為が、きわめて一般的であることを考えると、これの許可が修正が必要なレベルの危険性を持つことが分かる。

Jeff Johnson は、「Web ページをナビゲートしている間に、そのページは、あなたの知らないうちに、あなたにとって貴重なものかもしれない、クリップボード上の現在の内容を消去し、ページが望む情報に置き換えることが可能だ。なぜ Web ブラウザ・ベンダーは、こんなことを許したのだろう?」と述べている。

ありがたいことに、Jeff Johnson のテストでは、この許可を悪用する Web サイトであっても、クリップボードの内容を読み取ることは不可能であり、ユーザーのプライバシーは害されないことが確認されている。

私は影響を受けるのか?

この問題が、使用している Web ブラウザに影響するかどうかを確認するには、”webplatform.news” にアクセスし、クリップボードの内容を Windows のメモ帳などのアプリケーションにペーストするという手がある。

以下のようなメッセージが表示された場合に、使用しているブラウザはmパーミッションの乱用に対して脆弱性を持つことになる。

Clipboard overwritten by visiting a web page on Chrome
Clipboard overwritten by visiting a web page on Chrome

しかし、すべての Chromium ベースのブラウザが、この問題の影響を受けているわけではない。BleepingComputer のテストでは、Brave は “webplatform.news” に対して、クリップボード上書きの許可を与えなかった。

しかし、訪問者のクリップボードへ向けて、Web サイトのナビゲーション・アクションを記入する、Jeff Johnson の埋め込み型テスト・ボックスは、すべての Web ブラウザに対して機能したので、この不一致の原因は不明である。

Johnson は、この問題を過度に心配するユーザーに対して、彼の StopTheMadness エクステンションが利用できると述べているが、それでも、すべての状況において任意のクリップボード上書きから、100% の保護が達成されるわけではないと警告している。

こんなバグがあるとは驚きました。9月2日にアップデートされた Chrome for Mac の Version 105.0.5195.102 が、この問題に対処しているのかどうかを確認するために “webplatform.news” へアクセスしてみました。コピーに関する操作は何も行っていませんが、このサイトにアクセスするだけで、以下のテキストがクリップボードにコピーされていました。

”Hello, this message is in your clipboard because you visited the website Web Platform News in a browser that allows websites to write to the clipboard without the user’s permission. Sorry for the inconvenience. For more information about this issue, see https://github.com/w3c/clipboard-apis/issues/182.”

%d bloggers like this: