DOM-baseret clickjacking af udvidelser: Det skal du vide som Workspace-bruger

Når det gælder cybersikkerhed, har selv “gamle” trusler en evne til at genopfinde sig selv. Det er præcis, hvad der skete på DEF CON 33 (9. august 2025), hvor forskeren Marek Tóth præsenterede en ny teknik til DOM-baseret clickjacking af udvidelser, som kan ramme browserudvidelser til flere adgangskodeadministratorer.

Den gode nyhed? Remote Desktop Manager (RDM) er ikke berørt, og Workspace-browserudvidelsen er allerede hærdet med nye beskyttelser. Lad os gennemgå, hvad der skete, hvad vi har gjort, og hvad du kan gøre for at holde dig sikker.

Kort opsummering (TL;DR)

• Et nyt angreb med DOM-baseret clickjacking af udvidelser blev demonstreret offentligt af Marek Tóth.
• RDM til desktop og Workspace-apps til desktop og mobil er ikke berørt.
• Workspace-browserudvidelsen var berørt, men vi udrullede hurtigt lagdelte afværgeforanstaltninger:
  • Registrering af manipulation med opacitet/synlighed
  • Tjek for tildækning i det øverste lag (Popover)
• Workspaces sikrere standardindstillinger mindsker allerede risikoen:
  • Autoudfyldning ved sideindlæsning er slået FRA som standard
  • URL-matchning på værtsniveau er standardtilstanden
• Det bør du gøre: Opdatér Workspace-udvidelsen, hold “autofill on load” slået fra, medmindre det er nødvendigt, og overvej strengere URL-matchning for følsomme websteder.

Hvad der skete på DEF CON

Marek Tóths oplæg på DEF CON viste, hvordan angribere kan narre brugere til at klikke på usynlig brugergrænseflade fra udvidelsen, der er lagt ind i websider. Disse legitime klik — for eksempel at lukke en dialog — kunne utilsigtet udløse autoudfyldning.

Forskningen blev ansvarligt videregivet til nogle leverandører i april 2025 og delt offentligt i august 2025. Da Workspace ikke stod på PCMags liste “Best Password Managers” (forskerens testpulje), blev vi ikke underrettet i første omgang.

Dækningen fulgte hurtigt i branchen:

• SecurityWeek
• The Hacker News

Hvilke Devolutions-produkter er berørt?

• Remote Desktop Manager (Windows/macOS/Linux): Ikke berørt
• Workspace-apps til desktop og mobil: Ikke berørt
• Workspace-browserudvidelsen: Berørt, men rettet med nye sikkerhedsforanstaltninger

Sådan virker angrebet

Angrebet bygger på rigtige brugerklik. En angriber kan gøre udvidelsens brugergrænseflade usynlig og stadig klikbar. Når dit klik lander på denne skjulte brugergrænseflade, kan autoudfyldning blive udløst.

Fordi klikket er ægte, består browserens tjek (som event.isTrusted) stadig. Forskeren dokumenterede flere tricks:

• Ændring af opacitet/synlighed
• Overlejring med Popover API (brugergrænseflade i det øverste lag)
• Manipulation af pointerhændelser

Bemærkning om omfang: Risikoen er større, hvis angribere får kontrol over et underdomæne til et websted, du har legitimationsoplysninger til (for eksempel via XSS eller overtagelse af et underdomæne).

Risikovurdering af Workspace

Workspace var allerede på forkant:

• Autoudfyldning ved indlæsning er slået FRA som standard. Autoudfyldning kræver en eksplicit brugerhandling (klik eller genvej). Hent legitimationsoplysninger
• URL-matchning på værtsniveau. Som standard kræver Workspace match på værtsniveau, hvilket begrænser eksponering på tværs af underdomæner. Sammenligning af URL-typer

Når det er sagt, kan manipulation af DOM stadig narre brugere, så vi har tilføjet ekstra beskyttelse efter princippet om forsvar i dybden.

Det, vi har ændret

Vi har tilføjet to centrale sikkerhedsforanstaltninger i Workspace-browserudvidelsen:

1. Registrering af manipulation med opacitet/synlighed

   • Hvis brugergrænsefladen til autoudfyldning gøres gennemsigtig eller skjules af siden, lukker Workspace den med det samme og nægter at udfylde.

2. Registrering af tildækning i det øverste lag

   • Hvis et andet element dækker menuen til autoudfyldning, lukker Workspace brugergrænsefladen og blokerer udfyldning.

Kort sagt: Hvis Workspace ikke kan bekræfte, at brugergrænsefladen er synlig på en sikker måde, udfylder den ikke.

Det bør du gøre

For at mindske risikoen anbefaler vi følgende:

1. Opdatér Workspace-udvidelsen til den seneste version (2025.2.5.0 og nyere).
2. Hold “Autofill on load” slået fra (standard). Slå den kun til, hvis det er absolut nødvendigt. Hent legitimationsoplysninger
3. Brug strengere URL-matchning (for eksempel Exact til administrationskonsoller). Sammenligning af URL-typer
4. Valgfrit avanceret trin: Konfigurér udvidelsen i Chrome/Edge til webstedsadgang “On click” ved browsing med høj risiko. Marek Tóth
5. Hold en god browserhygiejne: Opdatér browsere og udvidelser regelmæssigt, undgå lyssky overlejringer, og installér ikke upålidelige tilføjelser.

Tidslinje

• April 2025: Privat videregivelse til udvalgte leverandører
• 9. august 2025: Oplæg på DEF CON og publicering af blogindlæg
• Slutningen af august 2025: Pressedækning i hele branchen
• 26. august 2025: Workspace-udvidelsen rettet internt
• 8. september 2025: Offentlig udgivelse af den rettede version (2025.2.5.0)

Vores syn på den grundlæggende årsag

Forskningen er en påmindelse om, at clickjacking ikke er død — den udvikler sig. Enhver udvidelse, der indsprøjter brugergrænseflade i vilkårlige websider, møder risici fra et fjendtligt DOM og CSS.

Selv om vores afværgeforanstaltninger gør Workspace mere modstandsdygtig, skal den langsigtede løsning komme på browserniveau (for eksempel pålidelige API’er, der forhindrer tildækning af brugergrænsefladen). Vi støtter den retning og bliver ved med at tilpasse os.

En bemærkning om autoudfyldning ved indlæsning

Funktionen er slået fra som standard — og vi anbefaler kraftigt, at du lader den blive sådan. Hvis et websted, du stoler på, bliver kompromitteret, kan autoudfyldning ved indlæsning lydløst udlevere legitimationsoplysninger. Slå den kun til, hvis du har et klart og kontrolleret behov.

Anerkendelser

En stor tak til Marek Tóth for hans forskning og ansvarlige videregivelse. Den fulde tekniske gennemgang og leverandørernes svar finder du i hans artikel.

Hold dig orienteret

• Få sikkerhedsadvarsler: Abonnér her
• Rapportér en sårbarhed: Besøg vores sikkerhedsside

Afsluttende tanker

Sikkerhedsforskning som denne minder os om, at trusler udvikler sig — og det skal forsvaret også. Vi er stolte af, at Workspaces sikrere standardindstillinger allerede gav beskyttelse, og vi er gået videre med nye sikkerhedsforanstaltninger for at beskytte vores brugere.

Som altid: Hold dine udvidelser opdateret, følg vores bedste praksis, og lad os blive ved med at bygge sikkerhed sammen.