CVE-2024-11919 Google Chrome Android UI欺骗漏洞

漏洞信息

漏洞编号

CVE-2024-11919

漏洞类型

UI欺骗

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Google Chrome on Android

漏洞概述

CVE-2024-11919是Google Chrome浏览器Android版本中的一个UI欺骗漏洞。该漏洞由于Intents实现不当导致，允许远程攻击者通过精心构造的HTML页面欺骗用户界面，从而可能诱导用户执行未经授权的操作或泄露敏感信息。漏洞存在于Chrome浏览器Android版129.0.6668.58之前的版本中，攻击复杂度较低，但需要用户交互才能成功利用。此漏洞被Chromium安全团队评定为低严重级别，但仍然可能对用户造成安全风险，特别是在移动设备上，用户更容易受到钓鱼攻击的影响。攻击者可以创建看起来像合法网页的恶意内容，利用浏览器的Intents机制进行欺骗性操作。

技术细节

该漏洞的根本原因在于Google Chrome Android版本中Intents功能的实现存在缺陷。Intents是Android系统中用于组件间通信的机制，Chrome浏览器使用它来处理特定的URL协议和页面导航。攻击者可以通过精心构造的HTML页面，利用恶意JavaScript代码操纵Chrome的Intents处理逻辑，从而实现UI欺骗。具体来说，攻击者可以创建一个伪造的登录界面、支付页面或其他敏感操作界面，诱导用户输入敏感信息或执行危险操作。由于该漏洞影响的是UI层面，用户很难区分真实页面和伪造页面。攻击成功的关键在于用户访问攻击者控制的恶意网页，并进行一定的交互操作（如点击、输入等）。该漏洞的CVSS评分4.3表明其影响范围有限，但仍需引起重视。

攻击链分析

STEP 1

步骤1

攻击者创建一个包含恶意HTML和JavaScript代码的网页，专门针对Chrome Android版的Intents实现缺陷

STEP 2

步骤2

攻击者通过钓鱼邮件、恶意链接或其他社会工程学手段诱导目标用户访问该恶意网页

STEP 3

步骤3

用户的Chrome Android浏览器加载该页面后，恶意JavaScript代码利用Intents机制的漏洞

STEP 4

步骤4

攻击者通过操纵Intents功能，在浏览器中显示伪造的UI界面，如假冒的登录表单、支付页面等

STEP 5

步骤5

用户被伪造的界面欺骗，输入敏感信息（如用户名、密码、信用卡号等）

STEP 6

步骤6

恶意代码窃取用户输入的敏感信息并发送到攻击者控制的服务器，完成信息窃取

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2024-11919 PoC - UI Spoofing via Intents -->
<!DOCTYPE html>
<html>
<head>
    <title>CVE-2024-11919 UI Spoofing PoC</title>
</head>
<body>
    <h1>UI Spoofing Test Page</h1>
    <p>This is a proof of concept for CVE-2024-11919</p>
    
    <script>
        // Malicious Intents manipulation code
        // This demonstrates how an attacker could exploit the Intents implementation flaw
        
        function exploitIntents() {
            // Create a fake intent to redirect or spoof UI
            const fakeIntent = {
                action: 'android.intent.action.VIEW',
                data: 'malicious://fake-site.com',
                flags: ['FLAG_ACTIVITY_NEW_TASK']
            };
            
            // Attempt to trigger the malicious intent
            // This would allow UI spoofing by manipulating Chrome's intent handling
            console.log('Intent exploitation attempt:', fakeIntent);
            
            // Display fake login form to demonstrate UI spoofing
            document.body.innerHTML = `
                <div style='border: 2px solid red; padding: 20px; margin: 20px;'>
                    <h2>⚠️ Fake Login Page (UI Spoofing Demo)</h2>
                    <p>This is a demonstration of UI spoofing capability.</p>
                    <form>
                        <input type='text' placeholder='Username' style='display:block;margin:10px 0;'>
                        <input type='password' placeholder='Password' style='display:block;margin:10px 0;'>
                        <button type='submit'>Login</button>
                    </form>
                    <p style='color:red;'>⚠️ This form could be used to steal credentials!</p>
                </div>
            `;
        }
        
        // Execute when page loads
        window.onload = function() {
            console.log('CVE-2024-11919 PoC loaded');
            setTimeout(exploitIntents, 1000);
        };
    </script>
</body>
</html>

影响范围

Google Chrome on Android < 129.0.6668.58

防御指南

临时缓解措施

在官方补丁发布之前，用户应避免使用Android版Chrome访问不可信的网页，特别是避免点击来源不明的链接。可以暂时使用其他浏览器作为替代方案，同时保持Chrome浏览器更新到最新版本。对于企业用户，建议通过移动设备管理(MDM)系统强制实施安全策略，限制用户访问可能存在风险的网站。