Brave Desktop privacy-preserving analytics system 安全漏洞
CVE编号
CVE-2020-8276利用情况
暂无补丁情况
N/A披露时间
2020-11-10漏洞描述
Brave Desktop的隐私保护分析系统（P3A）在1.1到1.18.35之间的实现记录了用户最后一次打开匿名窗口（包括Tor窗口）的时间戳。预期的行为是记录匿名窗口（不包括torwindows）的时间戳。请注意，如果用户启用了P3A，则时间戳不会发送到Brave的服务器，而是发送一个值发件人：用于最近24hUsed在上周，但不是24hUsed在过去28天内，但不是weekEver使用，但不是在过去28天内使用。隐私风险很低，因为具有磁盘访问权限的本地攻击者无法判断时间戳是否对应于Tor窗口或者是一个不认识的窗口。解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://hackerone.com/reports/1024668
参考链接 |
|
|---|---|
| https://hackerone.com/reports/1024668 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | brave | brave | * | From (including) 1.1 | Up to (including) 1.18.35 | ||||
- 攻击路径 本地
- 攻击复杂度 低
- 权限要求 低
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 高
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-312 | 敏感数据的明文存储 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论