Chrome och dess derivator kan ändra ditt urklipp utan din vetskap

Om du använder en Chromium-baserad webbläsare är det fullt möjligt för en webbplats att dra vad den vill till ditt urklipp.

Denna sårbarhet, som dök upp i version 104, tillåter illvilliga aktörer att skada användare.

Öppna bara en webbsida

När du kopierar eller klipper ut text lagras den i ditt urklipp. Även om vissa operativsystem erbjuder möjligheten att hålla en historik över det, är urklipp ofta begränsat till ett enda innehåll.

Att infoga ett nytt urklippsobjekt är begränsat i webbläsare som Firefox och Safari. De senare kräver en gest från användaren för att kopiera text, nämligen att välja innehållet och använda ett kommando för att kopiera via en snabbmeny eller med en genväg som Ctrl+C.

Idag har Chromium-baserade webbläsare, som Chrome, inte längre denna begränsning. Om du vill uppleva det, besök bara Webplatform News-webbplatsen: efter att du har öppnat webbsidan kommer ditt urklipp innehålla ett meddelande som informerar dig om att din webbläsare kan ändra ditt urklipp utan ditt medgivande. För att verifiera detta räcker det med en “klistra in” i en textredigerare. För de som har aktiverat urklippshistorik på Windows 10 och 11 är det möjligt att använda genvägen Windows+V.

En sårbarhet som inte är utan fara

Riskerna med denna sårbarhet är först och främst praktiska: det finns inget mer irriterande än att kopiera en text och förlora den genom att oskyldigt öppna en webbsida. Men risken kan vara mycket allvarligare. Malwerbytes Labs påpekar verkligen att en text kan bli ett kommando i en terminal. Det är också möjligt att en illvillig aktör försöker infoga bankuppgifter eller en bitcoin-adress i ditt urklipp utan din vetskap.

Om du vill fortsätta använda din favoritwebbläsare trots att den är sårbar, rekommenderas det att vara försiktig – till exempel genom att använda en textredigerare innan du kopierar någon känslig information. Även om det rapporteras bör det här problemet inte lösas omedelbart, eftersom det skulle skapa konflikter med andra funktioner, som (bland annat) Google Doodles-animationer.

Källa: Malwarebytes Labs