Расширения браузера: почему число уязвимостей в аддонах растёт

В исследовании, опубликованном в 2024 году, исследователи оценили, что за предшествующие три года расширения Chrome Web Store из категорий вредоносных, нарушающих правила и уязвимых набрали более 346 млн установок. По их оценке, 280 млн приходились на вредоносные расширения, 63 млн на нарушающие правила и 3 млн на уязвимые.

Эти числа описывают результат исследования, а не подтверждённую перепись всех установок. Они также не означают, что каждое расширение из названных категорий одинаково опасно: вредоносное поведение, нарушение правил магазина и техническая уязвимость обозначают разные проблемы. Вместе данные показывают другое: магазинная проверка и популярность расширения сами по себе не дают полной картины его безопасности.

Главное по теме

Число 346 млн относится к оценке установок расширений в трёх категориях за указанный период. Его нельзя использовать как доказательство того, что уязвимостей становится больше год от года. Для такого вывода потребовались бы сопоставимые замеры за разные годы, выполненные по одной методике. Здесь речь о масштабе, выявленном конкретным исследованием.

Это различие важно и для остальных показателей. Около 60% аддонов Chrome Web Store, согласно исследованию, никогда не обновлялись после публикации. Это доля расширений в магазине, а не доля расширений, которые обязательно содержат уязвимости. Около трети изученных расширений использовали уязвимые версии библиотек. Из этого не следует, что уязвим каждый аддон без обновлений: показатель говорит о проблеме с зависимостями в исследованной выборке.

Ещё один результат касается того, что происходило после публичного раскрытия уязвимости. Примерно половина изученных уязвимых расширений спустя два года всё ещё оставалась в магазине и сохраняла уязвимость. Это наблюдение о конкретной выборке, а не правило о сроке жизни любого неподдерживаемого расширения. Но оно показывает, почему публикация описания проблемы не гарантирует, что её устранили в коде.

Раскрытие уязвимости делает проблему видимой. Само по себе оно не обновляет расширение и не исправляет его зависимости.

Исследование, представленное на конференции ACM Web Conference 2024, охватило более 160 тысяч расширений Chrome. У 28 тысяч обнаружили разрешения, позволявшие обращаться к чувствительным полям; у 190 нашли сохранение полей паролей в переменных. Эти результаты описывают проверенные расширения и применённую методику. Их нельзя переносить на весь магазин или считать перечнем подтверждённых случаев кражи паролей.

В разговорах о безопасности расширений эти оговорки часто теряются. Формулировка о том, что расширения Chrome крадут данные, звучит так, будто любое расширение с широким доступом уже совершает кражу. На практике нужно различать возможность доступа, уязвимость, вредоносное поведение и подтверждённое использование данных. Для пользователя все четыре сценария важны, но это не одно и то же.

Как это работает

Расширение работает внутри браузера, однако доступ к данным зависит от его разрешений и настроек. Одному аддону достаточно менять внешний вид страницы, другому нужны разрешения для чтения содержимого сайтов или управления вкладками. Нельзя считать, что всякое расширение автоматически видит историю, cookies, закладки и данные каждой открытой страницы.

В Chrome набор запрошенных возможностей описывается в манифесте расширения. Для доступа к сайтам используются разрешения на соответствующие домены; в Manifest V3 для этого предусмотрен раздел host_permissions. В некоторых случаях расширение может запросить доступ к сайту в момент использования, а пользователь может ограничить доступ отдельными сайтами или конкретными ситуациями. Но название разрешения не объясняет, как именно программа применяет полученный доступ и что делает с данными после обработки.

Отсюда и практическая сложность: пользователь видит запрос, но не получает простого способа оценить весь дальнейший путь информации. Разрешение может быть оправдано функцией расширения, а может оказаться избыточным. Сам факт запроса ещё не доказывает злоупотребление, но чем шире доступ, тем больше потенциальный ущерб при ошибке в коде или компрометации.

Исследование Arcanum проверяло расширения Chrome на семи сайтах с чувствительными данными, включая почтовые и платёжные сервисы, социальные сети и профессиональные платформы. Авторы обнаружили тысячи расширений, создающих риски для приватности, и сотни, которые автоматически извлекали содержимое веб-страниц. Результаты указывают на возможность масштабного доступа к данным, но не означают, что все найденные расширения передавали или использовали информацию злонамеренно.

Таблица описывает возможные категории доступа, а не возможности каждого расширения. Если аддон запрашивает разрешения, не связанные с его заявленной функцией, это повод разобраться, зачем они нужны. При этом и скромный список разрешений не доказывает, что код безопасен: ошибки и нежелательное поведение возможны в пределах уже выданного доступа.

В корпоративной среде последствия могут быть шире. Браузер часто используется для работы с почтой, документами и SaaS-сервисами, поэтому расширение с доступом к содержимому страниц потенциально соприкасается и с рабочими данными. Практический разбор защиты персональных данных в облачных сервисах есть в материале по безопасности персональных данных в SaaS.

Практические детали

Уязвимость может сохраняться по нескольким причинам. Первая связана с обновлениями. Если разработчик перестал поддерживать расширение, он может не обновлять ни собственный код, ни использованные библиотеки. Именно поэтому исследователи отдельно смотрели на зависимости: около трети изученных расширений использовали уязвимые версии библиотек. Это не характеристика всех неактивных аддонов, но наглядный пример того, как устаревший компонент становится частью проблемы.

Вторая причина в том, что наличие расширения в магазине не равнозначно постоянной проверке каждой версии и каждой зависимости. Публичное раскрытие уязвимости тоже не гарантирует, что разработчик выпустит исправление. В исследовании примерно половина уязвимых расширений оставалась в магазине и сохраняла уязвимость спустя два года после раскрытия проблемы. Это повод смотреть на состояние конкретного продукта, а не выводить универсальный срок, за который все заброшенные расширения становятся опасными.

Есть и другая сторона: удаление расширения из магазина само по себе не удаляет его из браузера пользователя. GitLab Threat Intelligence обратил внимание на этот сценарий в анализе вредоносных расширений. Если аддон уже установлен, его исчезновение из магазина не стоит считать подтверждением, что он удалён с устройства. После сообщения об инциденте нужно проверить список установленных расширений и при необходимости удалить подозрительное вручную.

Исследование Arcanum и данные о разрешениях отвечают на разные вопросы. Первые помогают понять, какие расширения способны обращаться к содержимому страниц и почему приватность зависит от набора доступов. Вторые показывают, что в проверенной выборке существовали аддоны с широкими возможностями или небезопасной работой с чувствительными полями. Ни один из этих результатов не заменяет проверку конкретного расширения.

На что обратить внимание

Перед установкой полезно соотнести заявленную функцию с разрешениями. Блокировщику рекламы может понадобиться взаимодействовать со страницами, чтобы скрывать элементы, но запрос доступа к данным, не нужным для этой задачи, требует объяснения. Оценивать стоит не только формулировку в магазине, но и то, к каким сайтам расширение просит доступ.

Практичная проверка складывается из нескольких шагов:

1. Посмотрите, когда расширение обновлялось. Долгое отсутствие обновлений не доказывает наличие уязвимости, но повышает вероятность, что исправления для кода или библиотек не выходили.

2. Сопоставьте разрешения с функцией. Если аддон просит доступ к сайтам и данным, которые не связаны с его назначением, отложите установку и выясните причину.

3. Оцените объём доступа к сайтам. Возможность работать на всех страницах шире, чем доступ только к выбранным доменам. Если браузер позволяет ограничить доступ, это уменьшает число страниц, с которыми расширение может взаимодействовать.

4. Проверьте, нужен ли аддон сейчас. Расширения, которыми пользователь не пользуется, продолжают оставаться частью браузерной среды и могут получать обновления или сохранять прежние разрешения. Удаление ненужного уменьшает количество активных компонентов.

5. Не полагайтесь только на рейтинг и известность. Они могут помочь оценить распространённость продукта, но не подтверждают безопасность текущей версии. Разработчик или его учётная запись могут быть скомпрометированы уже после того, как расширение стало популярным.

В корпоративной среде те же вопросы стоит рассматривать на уровне рабочего процесса. По данным LayerX, опубликованным 15 апреля 2025 года, в исследованной корпоративной выборке у 99% пользователей было хотя бы одно расширение, а у 53% было более десяти. Эти показатели относятся именно к изученной корпоративной аудитории, а не ко всем пользователям интернета. Они говорят о распространённости аддонов в рабочей среде, но не о числе независимых процессов внутри одного расширения и не о том, что каждый пользователь столкнулся с инцидентом.

Чем больше расширений используется для доступа к рабочим сервисам, тем важнее понимать, какие из них могут взаимодействовать с содержимым страниц. Это особенно актуально для браузеров, через которые открываются корпоративная почта, документы и внутренние порталы. Угрозы браузерных плагинов в таком контексте определяются сочетанием разрешённого доступа, кода и обрабатываемых данных. Сам факт установки ещё не описывает весь риск.

Ещё один сценарий, который трудно заметить по названию или рейтингу, — изменение уже знакомого расширения после компрометации учётной записи разработчика. В феврале 2025 года GitLab Threat Intelligence описал как минимум 16 вредоносных расширений Chrome, затронувших, по оценке исследователей, не менее 3,2 млн пользователей. По их анализу, кампания с троянизацией расширений велась как минимум с июля 2024 года. В отдельной атаке, о которой сообщалось в том же анализе, в декабре 2024 года использовали скомпрометированные учётные записи разработчиков для распространения вредоносных обновлений.

Такая атака не означает, что проверка магазина всегда обходится или что каждое обновление опасно. Она показывает, что проверка расширения в момент установки не исчерпывает вопрос безопасности: вредоносный код может появиться в обновлении уже после того, как пользователь установил знакомый аддон. Поэтому при появлении сообщений об инциденте имеет смысл проверить установленное расширение заново, даже если оно давно находится в браузере.

Исчезновение аддона из магазина и отсутствие его на устройстве — разные вещи. После инцидента проверяйте браузер, а не только страницу магазина.

В Chrome список расширений можно открыть через chrome://extensions/. Там стоит удалить неиспользуемое и перепроверить оставшееся: название, разработчика, разрешения и сведения об обновлении. Режим разработчика позволяет просматривать сведения о расширении, но разбор манифеста сам по себе не является аудитом кода. Для пользователя это способ лучше понять запрошенные возможности, а не гарантия, что программа безопасна.

Итоги

Данные исследований позволяют говорить о масштабе рисков, но не подтверждают ежегодный рост числа уязвимостей в расширениях. Оценка более чем в 346 млн установок объединяет три категории и не является подсчётом каждого фактического пользовательского случая. Показатели про уязвимые библиотеки и сохранение уязвимостей спустя два года относятся к изученным выборкам. Данные LayerX описывают корпоративных пользователей, а не весь интернет.

Смысл этих оговорок не в том, чтобы преуменьшить проблему. Расширение может получить доступ к чувствительным страницам, а неактивный проект может не получить исправление. Компрометация учётной записи разработчика, в свою очередь, показывает, почему знакомое имя и прежняя репутация не дают полной гарантии безопасности после обновления.

При оценке расширения полезнее смотреть на конкретные вещи: какие разрешения ему нужны, как давно оно обновлялось и соответствует ли его доступ заявленной функции. Магазин и пользовательские оценки дают часть контекста, но не заменяют эту проверку.