Adblock Plus'is avastatud haavatavus, mis võimaldab käitada koodi kahtlaste filtrite kasutamisel

Adblock Plus reklaamiblokeerijas tuvastatud haavatavus, mis võimaldab võimaldades JavaScript-koodi käivitamist veebisaitide kontekstis, kui kasutatakse turvamata filtreid, mille on ette valmistanud kurjategijad (näiteks kolmandate osade reeglite komplektide ühendamisel või reeglite asendamise kaudu MITM-rünnaku käigus).

Filtrite komplektide autorid saavad oma koodi käivitada avatud veebisaitide kontekstis, lisades reegleid operaatori "rewrite" kaudu, mis võimaldab asendada osa URList. Rewrite operaator ei luba URLi hosti asendada, kuid võimaldab vabalt manipuleerida päringuargumentidega. Asendamiseks on lubatud kasutada ainult teksti, kuid script, object ja subdocument sildid ei ole lubatud. blokeeritud.

Kuid koodi saab siiski käivitada eraldiseisva tee kaudu.
Mõned veebisaidid, sealhulgas Google Maps, Gmail ja Google Images, kasutavad dünaamilise JavaScripti plokkide laadimise tehnikat, edastades neid palja tekstina. Kui server lubab päringute ümbersuunamise, saab teise hosti suunamist saavutada URLi parameetrite muutmisega (näiteks Google'i kontekstis võib ümbersuunamine toimuda API kaudu "google.com/search"). Lisaks hostidele, mis lubavad ümbersuunamist, saab rünnakut ka suunata teenustele, mis lubavad kasutajate sisu majutamist (koodihostingud, artiklite avaldamise platvormid jne).

Elistatud ründemeetod puudutab ainult lehti, mis laadivad dünaamiliselt JavaScripti koodi reaalses ajas (näiteks XMLHttpRequesti või Fetchi kaudu) ja seejärel käivitavad seda. Teine oluline piirang on vajadus kasutada ümbersuunamist või paigutada juhuslikud andmed algse serveri poole, mis ressursse edastab. Siiski on demonstratsioonina näidatud, kuidas korraldada oma koodi käivitamine maps.google.com avamisel, kasutades ümbersuunamist "google.com/search" kaudu.

Parandamine on hetkel valmimisel. Probleem puudutab ka reklaamiblokeerijaid AdBlock ja uBlock. UBlock Origini reklaamiblokeerija ei ole sellele probleemile vastuvõtlik, kuna see ei toeta "rewrite" operaatorit. UBlock Origini autoril oli kunagi.
toetuse Lisada rewrite-tugi, viidates võimalikele turvaprobleemidele ja hostitasandi piirangute ebapiisavusele (rewrite'i asemel pakuti querystrip'i võimalust päringute parameetrite puhastamiseks nende asendamise asemel).

Adblock Plus'i arendajad peavad reaalsete rünnakute korraldamist ebatõenäoliseks, kuna kõik muudatused vaikimisi reeglites läbivad ülevaatuse ning kolmandate osapoolte nimekirjade lisamine on kasutajate seas äärmiselt haruldane. Reeglite asendamine MITM kaudu välistab vaikimisi HTTPS-i kasutamine blokeerimisnimekirjade laadimiseks (kõikide muude loendite laadimine HTTP kaudu plaanitakse tulevaste väljaannete korral keelata). Saidipoolsete rünnakute tõkestamiseks võivad rakenduda direktiivid, CSP (Content Security Policy), mille kaudu on võimalik selgelt määratleda hostid, kust lubatakse väliste ressursside laadimine.

Allikas: opennet.ru