Bitdefender SafePay'i kaitstud brauseri haavatavus, mis viib koodi täitmiseni

Vladimir Palant, Adblock Plus loojaja, tuvastas haavatavus (CVE-2020-8102) Chromiumi mootoril põhinevas SafePay veebibrauseris, mis pakutakse Bitdefender Total Security 2020 viirusetõrje paketiga ning on suunatud kasutaja tööohutuse suurendamisele globaalses võrgus (näiteks, pakkudes täiendavat isolatsiooni panganduse ja maksesüsteemide kasutamisel). Haavatavus võimaldab brauseris avatud lehtedel täita arbitraarset koodi operatsioonisüsteemi tasemel.

Probleemi põhjus seisneb selles, et Bitdefender viirusetõrje teostab kohalikku HTTPS-i liikluse pealtkuulamist, asendades veebisaidi algse TLS-sertifikaadi. Klientide süsteemi installitakse täiendav juuresertifikaat, mis varjab kasutatava liikluse inspektsiooni süsteemi toimimist. Viirusetõrje sekkuvad kaitstud liiklusesse ja sisestavad mõnedele lehtedele oma JavaScript-koodi Safe Search funktsiooni rakendamiseks, ning sertifikaadi probleemide korral asendavad turvalise ühenduse veaallika lehe oma versiooniga. Kuna uus veaallika leht esitatakse avatud serveri nimel, on teistele sama serveri lehtedele täielik juurdepääs Bitdefenderi sisestatud sisule.

Kui avatakse pahatahtliku isiku kontrolli all olev veebileht, võib see leht saata XMLHttpRequesti päringu ja simuleerida HTTPS-sertifikaadi tõrke vastuses, mis viib Bitdefenderi muudetud veaallika lehe tagastamiseni. Kuna veaallika leht avaneb rünnakute kontekstis, suudab ta lugeda Bitdefenderi sisestatud muudetud lehe sisu. Muudetud Bitdefenderi lehe seas on ka sessioonivõti, mis võimaldab Bitdefenderi sisemise API abil käivitada eraldi SafePay brauseriseansi, näidates samas meelevaldseid käsurea lippe ja käivitada mistahes süsteemikäske lipuga "--utility-cmd-prefix". Näide eksploidist (param1 ja param2 — väärtused, mis saadakse veaallika lehelt):

var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
request.setRequestHeader("BDNDSS_B67EA559F21B487F861FDA8A44F01C50", param1);
request.setRequestHeader("BDNDCA_BBACF84D61A04F9AA66019A14B035478", param2);
request.setRequestHeader("BDNDWB_5056E556833D49C1AF4085CB254FC242", "obk.run");
request.setRequestHeader(«BDNDOK_4E961A95B7B44CBCA1907D3D3643370D», location.href);
request.send(«data:text/html,nada —utility-cmd-prefix=\»cmd.exe /k whoami & echo\»»);

Tuletame, et 2017. aastal tehtud uuring näitas, et 24 26-st testitud viirusetõrje tootest, mis kontrollisid HTTPS-traffic'i sertifikaatide asendamise kaudu, vähendasid HTTPS-ühenduse üldist turvalisust.
Käesolevad krüpteerimiskomplektid olid saadaval ainult 11 26-st tootest. 5 süsteemi ei kontrollinud sertifikaate (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). Kaspersky Internet Security ja Total Security tooted olid rünnakutele altti CRIME, samas kui AVG, Bitdefender ja Bullguard olid rünnakute all Logjam ja POODLE. Toode Dr.Web Antivirus 11 võimaldab tagasi lükata ebausaldusväärsed ekspordi krüptod (rünnak FREAK).

Allikas: opennet.ru