Une vulnérabilité a été identifiée dans le système uBlock Origin pour bloquer le contenu indésirable qui permet un crash ou un épuisement de la mémoire lors de la navigation vers une URL spécialement conçue, si cette URL est soumise à des filtres de blocage stricts. La vulnérabilité n'apparaît que lors de la navigation directe vers l'URL problématique, par exemple en cliquant sur un lien.
La vulnérabilité est corrigée dans la mise à jour uBlock Origin 1.36.2. Le module complémentaire uMatrix souffre également d'un problème similaire, mais il a été interrompu et les mises à jour ne sont plus publiées. Il n'existe aucune solution de sécurité dans uMatrix (initialement, il a été suggéré de désactiver tous les filtres de blocage stricts via l'onglet « Actifs », mais cette recommandation s'est avérée insuffisante et crée des problèmes pour les utilisateurs avec leurs propres règles de blocage). Dans ηMatrix, un fork d'uMatrix du projet Pale Moon, la vulnérabilité a été corrigée dans la version 4.4.9.
Un filtre de blocage strict est généralement défini au niveau du domaine et signifie que toutes les connexions sont bloquées, même si vous suivez directement un lien. La vulnérabilité est due au fait que lors de la navigation vers une page soumise à un filtre de blocage strict, l'utilisateur reçoit un avertissement fournissant des informations sur la ressource bloquée, notamment l'URL et les paramètres de requête. Le problème est que uBlock Origin analyse les paramètres de la requête de manière récursive et les ajoute à l'arborescence DOM sans prendre en compte le niveau d'imbrication.
Lors de la manipulation d'une URL spécialement conçue dans uBlock Origin pour Chrome, il est possible de faire planter le processus exécutant le module complémentaire du navigateur. Après un crash, jusqu'au redémarrage du processus avec le module complémentaire, l'utilisateur ne bloque pas le contenu indésirable. Firefox connaît un épuisement de la mémoire.
Source: opennet.ru