I adblockeren Adblock Plus en sårbarhed, udførelse af JavaScript-kode i konteksten af hjemmesider, når der anvendes ikke-verificerede filtre, der er forberedt af ondsindede aktører (for eksempel ved tilslutning af tredjeparts regelsæt eller ved at ændre regler under en MITM-angreb).
Forfattere af filtre kan organisere udførelse af deres kode i konteksten af de hjemmesider, brugerne åbner, ved at tilføje regler med operatoren "" som giver mulighed for at erstatte dele af URL'en. Rewrite-operatoren tillader ikke at ændre værten i URL'en, men giver mulighed for frit at manipulere med forespørgselsparametre. Som erstatningsmaske må der kun anvendes tekst, og indsatser af script-, object- og subdocument-tags .
Ikke desto mindre kan udførelse af kode opnås på en alternativ måde.
Nogle sider, herunder Google Maps, Gmail og Google Images, anvender teknikken med dynamisk indlæsning af eksekverbare JavaScript-blokke, der sendes i form af ren tekst. Hvis serveren tillader omdirigering af forespørgsler, kan man opnå omdirigering til en anden vært ved at ændre URL-parametrene (for eksempel i forbindelse med Google kan omdirigering ske gennem API'et ""). Udover værter, der tillader omdirigering, kan angrebet også rettes mod tjenester, der tillader brugergenereret indhold (kodehosting, artikeldistributionsplatforme mv.).
Den foreslåede angrebsmetode påvirker kun sider, der dynamisk indlæser linjer med JavaScript-kode (for eksempel gennem XMLHttpRequest eller Fetch) og derefter udfører dem. En anden vigtig begrænsning er nødvendigheden af at bruge omdirigering eller hoste vilkårlige data på den oprindelige servers side, der leverer ressourcen. Ikke desto mindre er det vist, hvordan man kan organisere udførelsen af sin kode ved åbning af maps.google.com ved at bruge omdirigering gennem "google.com/search".
Retningen er stadig under forberedelse. Problemet berører også blokkeringsprogrammerne og . UBlock Origin er ikke udsat for problemet, da det ikke understøtter "rewrite"-operatoren. Tidligere var forfatteren af uBlock Origin
tilføje støtte til rewrite ved at henvise til potentielle sikkerhedsproblemer og utilstrækkelig begrænsning på værtens niveau (i stedet for rewrite blev muligheden querystrip foreslået til rensning af forespørgselsparametre i stedet for at erstatte dem).
Udviklerne af Adblock Plus mener, at det er usandsynligt, at reelle angreb vil finde sted, da alle ændringer i de officielle regel lister gennemgår en anmeldelse, og tilslutningen af tredjeparts lister praktiseres sjældent af brugerne. Erstatning af regler via MITM udelukkes af standardanvendelsen af HTTPS til download af de officielle blokering lister (for de andre lister planlægges det at forbyde download via HTTP i en fremtidig udgave). Til blokering af angreb på websteder kan direktiver anvendes (Content Security Policy), hvor man tydeligt kan definere de værter, som må downloades eksterne ressourcer fra.
Kilde: opennet.ru
