Google Chrome 28.0.1500.95 Password 弱い暗号化 ⚔ [係争中]

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
3.9	$0-$5k	0.00

脆弱性が Google Chrome 28.0.1500.95 内に見つかりました。この脆弱性は問題があるとして分類されました。この脆弱性により影響を受けるのは、コンポーネント【Password Handler】の未知の機能です。引数への入力chrome://settings/passwordsの操作が、弱い暗号化をもたらします。 CWEを用いて問題を定義すると、CWE-311 となります。この脆弱性は公開されました 2013年08月06日によりElliott Kember としてChrome's insane password security strategy としてPosting （ウェブサイト）。アドバイザリーは news.ycombinator.com で共有されています。ベンダーと連携せずに情報が公開されました。

技術的詳細情報が入手可能です。この脆弱性の人気度は平均より低いです。さらに、エクスプロイトが利用可能です。エクスプロイトが公に開示されており、悪用される可能性があります。現時点で、エクスプロイトツールの価格はおそらく米ドルで約$0-$5kです。 MITRE ATT&CKプロジェクトは、攻撃手法を T1600 と定義しています。

機能的であると宣言されています。 0dayとして、推定される闇市場取引価格はおよそ $25k-$100k でした。現時点では、この脆弱性の実在性については依然として疑いが残っています。】のプラグインを提供しています。

アップグレードされたバージョンは、chrome.google.com からダウンロードする準備ができています。アドバイザリーには次の備考が含まれています。

We've also been repeatedly asked why we don't just support a master password or something similar, even if we don't believe it works. We've debated it over and over again, but the conclusion we always come to is that we don't want to provide users with a false sense of security, and encourage risky behavior. We want to be very clear that when you grant someone access to your OS user account, that they can get at everything. Because in effect, that's really what they get.