"...Чтобы обеспечить безопасность пользователей в Интернете, что среди прочего подразумевает блокировку рекламы и предупреждения о вредоносных результатах поиска, мы используем расширение браузера. Разумеется, вы можете отказаться от установки этого (и любого другого) расширения. Наше приложение не оставит вас без защиты: если оно обнаружит, что расширение не установлено, оно будет внедрять специальные скрипты в посещаемые вами веб-страницы, чтобы с их помощью отслеживать угрозы. В таких случаях между скриптом и телом защитного решения устанавливается канал связи.
Основная часть уязвимостей, обнаруженных Палантом, была именно в этом канале связи. Теоретически, если бы злоумышленник атаковал его, он мог бы попытаться перехватить управление самим приложением. Палант обнаружил эту проблему в Kaspersky Internet Security 2019 в декабре 2018 года и сообщил нам о ней в рамках программы bug bounty. Мы немедленно занялись ее устранением.
Также Палант нашел потенциальный эксплойт, который мог использовать канал связи между расширением браузера и продуктом для доступа к важным данным, таким как ID продукта «Лаборатории Касперского», его версия и версия операционной системы. Эту уязвимость мы также закрыли.
Наконец, сотрудник журнала c’t Рональд Айкенберг обнаружил уязвимость, из-за которой уникальные ID могли быть раскрыты владельцам веб-сайтов, посещаемых пользователями продуктов «Лаборатории Касперского». Эту уязвимость мы исправили еще в июле, и уже в августе все наши клиенты были защищены. Впоследствии Палант обнаружил еще одну уязвимость такого рода — она была устранена в ноябре 2019 года..."
https://www.kaspersky.ru/blog/kaspersky-products-fixed/25773/?utm_source=newsletter&utm_medium=Email&utm_campaign=kd%20weekly%20digest
Journal information