Adblock Plus'i haavatavus, mis võimaldab koodi käivitamist kahtlaste filtrite kasutamisel

Reklaamiblokeerijas Adblock Plus tuvastatud haavatavus, mis võimaldab organiseerida JavaScript-koodi käitamine veebisaitide kontekstis, kui kasutatakse kontrollimata filtreid, mida on valmistanud ründajad (näiteks kolmandate osapoolte reeglite kogumite ühendamisel või reeglite asendamisel MITM-rünnaku käigus).

Filtrite kogude autorid võivad korraldada oma koodi käitamise avatud veebisaitide kontekstis, lisades reegleid operaatoriga „rewrite“, mis võimaldab asendada osa URL-st. Rewrite operaator ei luba asendada hosti URL-is, kuid võimaldab vabalt manipuleerida päringu argumentidega. Asendamiseks võib kasutada ainult teksti malli ning script, object ja subdocument siltide asendamine ei ole lubatud. blokeeritud.

Siiski on koodi täitmine võimalik ringteed pidi.
Mõned saidid, sealhulgas Google Maps, Gmail ja Google Images, kasutavad tehnoloogiat täidise kaudu JavaScript-plokkide dünaamiliseks laadimiseks, mis edastatakse palja tekstina. Kui server lubab päringute suunamist, võib teise hosti edastada, asendades URL-i parameetreid (näiteks Google'i kontekstis võib suunamine toimuda API kaudu.google.com/search«).välja arvatud hostid, mis lubavad suunamist, võib rünnak toimuda ka teenuste vastu, mis lubavad kasutajate sisu (koodihostid, artiklite avaldamise platvormid jne).

Ettepanek rünnakute meetod mõjutab ainult lehti, mis laadivad dünaamiliselt JavaScript koodi (nt läbi XMLHttpRequest või Fetch) ja seejärel täidavad seda. Teine oluline piirang on vajadus suunata või paigutada juhuslikud andmed lähte serveri külge, mis toob ressursi. Siiski, rünnaku asjakohasuse demonstreerimiseks on näidatud, kuidas korraldada oma koodi täitmist, avades maps.google.com, kasutades suunamist läbi «google.com/search».

Parandus on praegu ettevalmistamisel. Probleem puudutab ka blokeerijaid AdBlock ja uBlock. Blokeerija uBlock Origin ei ole probleemile vastuvõtlik, kuna see ei toeta operaatorit «rewrite». Kunagi autor uBlock Origin
keeldus lisama rewrite-toetust, viidates võimalikele turvaprobleemidele ja hosti taseme piirangute ebapiisavusele (rewrite asemel pakuti querystripi võimalust päringupärandite puhastamiseks nende asendamise asemel).

Adblock Plus arendajad peavad reaalsete rünnakute läbiviimist ebatõenäoliseks, kuna kõik muudatused ametlikes reeglistikes läbivad ülevaatuse ning kolmandate osapoolte nimekirjade lisamine on kasutajate seas äärmiselt haruldane. Reeglite asendamist MITM kaudu välistab vaikimisi HTTPS-i kasutamine ametlike blokeerimisnimekirjade laadimisel (muude nimekirjade puhul plaanitakse tulevikus HTTP laadimist keelata). Saite rünnakute eest kaitsmiseks võivad rakendada direktiive CSP (Content Security Policy), mille kaudu saab selgelt määratleda hostid, millelt lubatakse väliste ressursside laadimist.

Allikas: opennet.ru