Złośliwe rozszerzenie przeglądarki może uruchomić kod przez asystenta AI na komputerze

Rozszerzenie przeglądarki działające na stronie popularnego asystenta AI może sprawić, że jego aplikacja desktopowa uruchomi kod na komputerze użytkownika. Poprawki nie ma, a według badaczy Forever Security luka nadal działa. Funkcja zlecania zadań z telefonu przyjmowała zwykłą sesję zalogowaną na stronie, więc skrypt rozszerzenia wysyłał polecenia tak, jakby pisał je użytkownik. Prośby o zgodę na działanie wyświetlały się na stronie, którą kontrolowało rozszerzenie. Producent zapowiedział badaczom wycofanie funkcji, ale strona pomocy o tym nie wspomina.

Kogo dotyczy

Użytkowników zalogowanych jednocześnie na stronie asystenta i w aplikacji desktopowej, z włączoną funkcją zlecania zadań, dostępną w części płatnych planów. Atak wymaga rozszerzenia, które może uruchamiać skrypty na stronie asystenta: złośliwego, przejętego przez zainfekowaną aktualizację albo mającego własną lukę. Funkcja działa tylko wtedy, gdy komputer nie śpi, a aplikacja jest otwarta. Nowi użytkownicy nie mogą jej już włączyć.