インターネットを閲覧しているときに、攻撃者にデータを公開する可能性のある多くの脆弱性にさらされています。しかし、時間の経過とともに、これらの攻撃から私たちを保護するためにテクノロジーが進化してきました。しかし同時に、攻撃者は常に脆弱性を見つけてシステムをハッキングしようとしています。今日話している脆弱性は、WebページのCSSにあり、 ^(CSS)CSSExfilと呼ばれます。

最近のWebサイトは、スタイル設定を^(Modern)CSSに大きく依存しており、CSSなしでWebサイトを想像する方法はありません。CSS Exfilは、攻撃ベクトルとしてカスケードスタイルシート^{(Cascading Style Sheets)}（CSS ）を使用してターゲットデータを盗むために使用できます。ユーザー名、パスワード、電子メールなどの情報が危険にさらされます。CSSExfilに依存するさまざまな攻撃シナリオがあります。これには、コードインジェクション、Webトラッキング、不正な広告、DOMでの悪意のあるコードの配置などが含まれます。

この脆弱性に対する保護は必須ですが、私たちが使用している最新のブラウザのほとんどには、この脆弱性に対する保護対策が付属していません。

ブラウザがCSSExfil攻撃に対して脆弱かどうかを確認する方法

ここには、どのブラウザでも動作し、保護ステータスを確認できるすばらしいCSS ExfilVulnerabilityTesterが^{(CSS Exfil Vulnerability Tester)} あります。^{(available here)}このツールは、同じオリジンとクロスドメインCSSについてブラウザーをテストします。Webページは、 CSS Exfil^{(CSS Exfil)}を介した攻撃を模倣しようとし、成功した結果を生成します。

^{(CSS Exfil Protection Extension)}ChromeおよびFirefox用のCSSExfilProtection Extension

ブラウザが脆弱であることが判明した場合は、ブラウザに少しセキュリティを追加することを検討する必要があります。この仕事をしてくれるChromeとFirefoxの両方で利用できる拡張機能があります。この拡張機能はCSSExfilProtectionと呼ばれ、 ^{(CSS Exfil Protection)}Chromeウェブストア^{(Chrome Web Store)}とFirefoxストア^{(Firefox Store)}からもダウンロードできます。

インストールして有効にしたら、脆弱性テスターに​​再度アクセスして、ブラウザーが保護されているかどうかを確認できます。攻撃イメージは読み込まれず、すべてのテストで肯定的な結果が得られるはずです。

また、アドレスバーの横にある拡張機能のアイコンでカウントを確認できます。カウントは、このWebページが脆弱性を悪用しようとし、ブロックされたことを示しています。したがって、使用している他のWebサイトでこのカウントに気付いた場合は、それらのWebサイトの周囲に注意する必要があります。

CSS Exfil Protection拡張機能は、WebページのCSSを前処理することによって機能します。CSS全体をスキャンし、CSS属性値内のリモート呼び出しを探します。そのようなリモート呼び出しが存在する場合、それはそれを無効にし、CSSをクリーンにします。そして、その数はおそらく、このWebページのCSSで見つかったそのようなリモート呼び出しの数です。^(CSS)

CSS Exfilは、非常に多くの脆弱性を生み出す可能性があります。それらに対する保護を持つことは必須です。この拡張機能は正しい方向への一歩に過ぎず、将来的にはブラウザによってネイティブに提供されるセキュリティが強化されることを期待しています。CSS Exfil Protectionはオープンソースであり、無料でダウンロードできます。GitHubページを確認するか、Webブラウザの拡張機能ストアから直接ダウンロードできます。

CSS Exfil Protection browser extension offers CSS Exfil vulnerability attack

As we are browsing the internet, we are exposed to a lot of vulnerabilitieѕ that might expose our data to attackers. But with time, the technology has eνolved in order to protect us against thеse attacks. Bυt at the same time, the attackers and constantly trying to find vulnerabilities and hack into oυr systems. The vulnerabilitу that we are talking about today lies in CSS of a webpage and it is called CSS Exfil.

Modern websites rely heavily on CSS for styling and there is no way you can imagine a website without CSS. CSS Exfil can be used to steal targeted data using Cascading Style Sheets (CSS) as an attack vector. It puts your information such as username, passwords, emails at risk. There are a variety of attack scenarios that rely on CSS Exfil. They include code injection, web tracking, illegitimate advertisements, malicious code placement in DOM and a few more.

Protection against this vulnerability is must but most of the modern browsers that we use do not come with protection measures against this vulnerability.

How to check if your browser is vulnerable to CSS Exfil attacks

There is a wonderful CSS Exfil Vulnerability Tester available here that can work on any browser and confirm the protection status. The tool tests a browser for the same origin and cross-domain CSS. The webpage would try to mimic the attack via CSS Exfil and will produce the results it was successful.

CSS Exfil Protection Extension for Chrome and Firefox

If your browser turns out to be vulnerable, then you should consider adding a little security to it. There is an extension available for both Chrome and Firefox that does this job for you. The extension is called CSS Exfil Protection and is available to download from Chrome Web Store and Firefox Store as well.

Once installed and enabled, you can head over to the vulnerability tester again to check if your browser is protected or not. The attack images should not load, and all the tests should produce a positive result.

Also, you will be able to notice a count with the extension’s icon beside the address bar. The count is the indication that this webpage tried to exploit a vulnerability and it has been blocked. So, if you notice this count on other websites that you use, you need to be careful around those websites.

CSS Exfil Protection extension works by pre-processing the CSS of a webpage. It scans the entire CSS and looks for any remote calls inside CSS attribute values. If any such remote call exists, it neutralizes it and makes the CSS clean. And the count is probably the number of such remote calls it found in the CSS of this webpage.

CSS Exfil can create quite a lot of vulnerabilities. Having protection against them is a must. This extension is just one step in the right direction, and we hope to see more security offered by the browsers natively in the future. CSS Exfil Protection is open source and free to download. You can check out its GitHub page or directly download it from the extension store of your web browser.

Related posts

• Windows 10でRetpolineを手動で有効にする方法

• Bug、Issue or VulnerabilityからMicrosoftを報告する方法

• DLL Hijacking Vulnerability Attacks、Prevention & Detection

• Bitdefender Home Scanner：脆弱性についてHome Networkをスキャンします

• SecPod Saner Personal：Free Advanced Vulnerability Scanner

• Windows Resource Protection破損したファイルを見つけましたが、それらのいくつかを修正することができませんでした

• IE11およびEdgeで追跡禁止および追跡保護を有効にする

• Windows 10のTamper Protection featureとは

• Windows DefenderでRansomware Protectionを有効にして設定します

• Windows Resource Protectionはrepair serviceを起動できませんでした

• Fileless Malware Attacks、Protection and Detection

• Windows 10のExploit Protectionでアプリを追加または除外する方法

• Windows10でディスクの書き込み保護を有効または無効にする

• Fix Function addressはprotection fault - Printing errorを引き起こしました

• Windows 10のAccount Protectionとは何ですか？このセクションを非表示にする方法

• スピアフィッシングとは何ですか？説明、Examples、Protection

• WindowsはSoftware Protection serviceを起動できませんでした

• すべての人のセキュリティ-BullguardPremiumProtectionを確認する

• 教育によるサイバーセキュリティ：Kaspersky Interactive Protection Simulation

• Windows SecurityにExploit Protectionを変更できないようにユーザー