随着Chrome 68的发布，Google在其浏览器上突出显示所有非HTTPS网站为“不安全”来源，这一举动使互联网更安全。

在更新之前，还有另一个重要的原因，使需要立即切换最新版本的Chrome网络浏览器成为必要之举。来自Imperva的安全研究员Ray Masas发现 了一个Web浏览器漏洞，让攻击者发现只需诱骗你访问一个网站就可以获取其他网络平台（如Facebook和Google）的一切数据 ，以及他们所需要的一切。该漏洞被标识为CVE-2018-6177，利用了音频/视频HTML标签的弱点，并影响了由“Blink 引擎”驱动的所有网络浏览器，这其中包括谷歌浏览器。

为了说明攻击情景，研究人员举了一个Facebook的例子，这是一个流行的社交媒体平台，收集有关用户的详细信息，包括年龄、性别、曾经去过的地点（位置数据）和兴趣，即喜欢和不喜欢什么。Facebook为页面管理员提供帖子定位功能，允许他们根据时间、地点、性别和兴趣为特定帖子定义目标受众或受限制的受众。

攻击原理

为了证明这一漏洞，研究人员创建了多个Facebook帖子，包含了受限制群体的不同组合，以根据他们的年龄、地点、兴趣或性别对其进行分类。现在，如果网站将所有这些Facebook帖子嵌入网页，则会加载根据Facebook上与受限制的群众设置相匹配的个人资料数据，在访客端仅显示一些特定帖子。

例如，如果定义仅对26岁的男性Facebook用户且对黑客攻击或信息安全方面有兴趣可见，如果成功加载，攻击者可以潜在地了解访问者的个人信息，无论他们的隐私如何设置。尽管这个想法听起来非常简单并且令人震惊，但网站管理员无法直接确定是否有嵌入式帖子已成功加载特定访问者。

由于跨域资源共享（CORS）—— 一种浏览器安全机制，可以防止网站在未经明确许可的情况下阅读其他网站的内容。但是，Imperva研究员发现，因为音频和视频HTML标签不会验证内容类型对于获取的资源或拒绝具有无效MIME类型的响应，攻击者可以在网站上使用多个隐藏的视频或音频标签来请求Facebook帖子。

虽然此方法不会按预期显示Facebook帖子，但它确实允许攻击者控制的网站（使用JavaScript）测量跨源资源的大小和请求数量，以找出哪些特定帖子已成功从Facebook获取个人访客信息。

“几个脚本同时运行 ， 每个脚本都在测试一个独特的限制 ，攻击者可以相对快速地挖掘大量关于用户的私人数据”，“我们发现通过工程站点返回的响应大小取决于当前记录的用户属性，可以使用此方法提取有价值的信息。”Masses说。

谷歌安全团队的一名成员指出，该漏洞也可能对使用API获取用户会话特定信息的网站起作用。此漏洞的核心与另一个浏览器漏洞（今年6月已打补丁）有一些相似之处，该漏洞利用Web浏览器处理对视频和音频文件的跨源请求，允许攻击者读取用户的Gmail或私人Facebook消息的内容。

Imperva研究员向Google报告了漏洞并提交了Poc利用，Chrome团队在Chrome68中修夏了此问题。因此，强烈建议Chrome用户将浏览器更新到最新版本（如果尚未更新）。