Vulnerability nyob rau hauv Adblock Plus uas tso cai rau kev ua txhaum cai thaum siv cov ntxaij lim dej questionable

Hauv Adblock Plus ad blocker txheeb xyuas yooj yim, tso cai teeb tsa kev ua tiav ntawm JavaScript code nyob rau hauv cov ntsiab lus ntawm cov chaw, nyob rau hauv cov ntaub ntawv ntawm kev siv unverified lim npaj los ntawm attackers (piv txwv li, thaum txuas lwm tus neeg txheej txheej ntawm txoj cai los yog los ntawm kev hloov cov cai thaum lub sij hawm ib tug MITM nres).

Cov neeg sau npe nrog cov txheej lim dej tuaj yeem teeb tsa kev ua tiav ntawm lawv cov cai hauv cov ntsiab lus ntawm cov chaw qhib los ntawm tus neeg siv los ntawm kev ntxiv cov cai nrog tus neeg teb xov tooj "sau dua tshiab", uas tso cai rau koj hloov ib feem ntawm qhov URL. Tus neeg teb xov tooj rov sau dua tsis tso cai rau koj los hloov tus tswv tsev hauv qhov URL, tab sis nws tso cai rau koj los tswj cov lus thov sib cav. Tsuas yog cov ntawv nyeem tuaj yeem siv los hloov daim npog ntsej muag, thiab hloov cov ntawv, khoom thiab cov ntawv cim npe tau tso cai thaiv.

Txawm li cas los xij, kev ua tiav code tuaj yeem ua tiav hauv kev ua haujlwm.
Qee qhov chaw, suav nrog Google Maps, Gmail, thiab Google Duab, siv cov txheej txheem ntawm dynamically loading executable JavaScript blocks, xa mus rau hauv daim ntawv liab qab. Yog hais tias tus neeg rau zaub mov tso cai thov redirection, ces xa mus rau lwm tus tswv tsev tuaj yeem ua tiav los ntawm kev hloov qhov URL tsis (piv txwv li, hauv cov ntsiab lus ntawm Google, kev hloov pauv tuaj yeem ua los ntawm API "google.com/search"). Ntxiv rau cov tswv uas tso cai rau kev hloov pauv, kev tawm tsam kuj tuaj yeem ua tawm tsam cov kev pabcuam uas tso cai rau kev tshaj tawm cov ntsiab lus ntawm cov neeg siv (code hosting, tsab xov xwm tshaj tawm platforms, thiab lwm yam).

Txoj kev tawm tsam tawm tsam tsuas yog cuam tshuam cov nplooj ntawv uas muaj zog thauj cov hlua ntawm JavaScript code (piv txwv li, ntawm XMLHttpRequest lossis Fetch) thiab tom qab ntawd ua rau lawv. Lwm qhov kev txwv tseem ceeb yog qhov yuav tsum tau siv qhov hloov pauv lossis tso cov ntaub ntawv tsis raug rau sab ntawm tus thawj server uas muab cov peev txheej. Txawm li cas los xij, txhawm rau ua kom pom qhov cuam tshuam ntawm qhov kev tawm tsam, nws tau qhia tias yuav ua li cas los txhim kho kev ua tiav ntawm koj cov cai thaum qhib maps.google.com, siv kev xa rov qab los ntawm "google.com/search".

Txoj kev kho tseem nyob hauv kev npaj. Qhov teeb meem kuj cuam tshuam rau blockers AdBlock ΠΈ uBlock. Lub uBlock Keeb Kwm blocker tsis cuam tshuam los ntawm qhov teeb meem, vim nws tsis txhawb tus neeg teb xov tooj "rewrite". Thaum ib zaug tus sau ntawm uBlock Keeb Kwm
tsis kam ntxiv kev txhawb nqa rau kev sau dua tshiab, hais txog cov teeb meem kev nyab xeeb thiab tsis txaus tus tswv-theem kev txwv (kev xaiv querystrip tau thov kom rov sau dua los ntxuav cov lus nug tsis hloov pauv).

Adblock Plus cov neeg tsim tawm txiav txim siab qhov kev tawm tsam tiag tiag yuav tsis zoo li, vim tias txhua qhov kev hloov pauv rau cov npe ntawm cov cai raug tshuaj xyuas, thiab kev sib txuas cov npe thib peb yog qhov tsis tshua muaj neeg siv. Kev hloov pauv ntawm cov cai ntawm MITM yog tiv thaiv los ntawm kev siv HTTPS rau kev rub tawm cov npe thaiv cov qauv (rau lwm cov npe nws tau npaj los txwv tsis pub rub tawm ntawm HTTP hauv kev tso tawm yav tom ntej). Cov lus qhia tuaj yeem siv los thaiv kev tawm tsam ntawm qhov chaw sab CSP (Cov Ntsiab Cai Kev Nyab Xeeb), los ntawm qhov koj tuaj yeem txiav txim siab meej cov tswv los ntawm cov peev txheej sab nraud tuaj yeem thauj khoom.

Tau qhov twg los: opennet.ru

Ntxiv ib saib