Google Chrome 28.0.1500.95 Password 弱加密 ⚔ [有争议]

CVSS 元临时分数	当前攻击价格 (≈)	CTI兴趣分数
3.9	$0-$5k	0.00

摘要信息

在Google Chrome 28.0.1500.95中曾发现一漏洞, 此漏洞被申报为棘手。受此漏洞影响的是未知功能的组件Password Handler。手动调试的使用输入：chrome://settings/passwords不合法输入可导致弱加密。而且，有现成的漏洞利用。目前，此漏洞是否真实存在尚存疑惑。

在Google Chrome 28.0.1500.95中曾发现一漏洞, 此漏洞被申报为棘手。受此漏洞影响的是未知功能的组件Password Handler。手动调试的使用输入：chrome://settings/passwords不合法输入可导致弱加密。通过 CWE 声明此问题将指向 CWE-311。此漏洞的脆弱性 2013-08-06由公示人Elliott Kember、公示人身份Chrome's insane password security strategy、公示人类型为Posting (网站)所公布。阅读公告的网址是news.ycombinator.com。此公开发布未经过与厂商的协调。

技术细节已公开。该漏洞的知名度低于平均水平，而且，有现成的漏洞利用。该漏洞利用已公开，攻击者可能会加以利用。当前漏洞利用的价值为美元大约是$0-$5k 。该漏洞由MITRE ATT&CK项目分配为T1600。

它被宣布为功能性的。 0日漏洞的地下市场估价大致为$25k-$100k。目前，此漏洞是否真实存在尚存疑惑。

您可以在chrome.google.com下载最新版本。公告中有如下说明：

We've also been repeatedly asked why we don't just support a master password or something similar, even if we don't believe it works. We've debated it over and over again, but the conclusion we always come to is that we don't want to provide users with a false sense of security, and encourage risky behavior. We want to be very clear that when you grant someone access to your OS user account, that they can get at everything. Because in effect, that's really what they get.