Vladimir Palant, az Adblock Plus alkotója, () a Chromium motorra épülő speciális Safepay böngészőben, amely a Bitdefender Total Security 2020 antivírus csomag részeként érhető el, és a felhasználó biztonságosabb internetes munkáját célozza meg (például, extra elszigetelést biztosít a bankokkal és a fizetési rendszerekkel való kapcsolattartás során). Az veszélyeztetett állapot lehetővé teszi, hogy a böngészőben megnyitott webhelyek tetszőleges kódot hajtsanak végre az operációs rendszer szintjén.
A probléma oka az, hogy a Bitdefender antivírus helyi szinten lehallgatja a HTTPS forgalmat az eredeti TLS tanúsítvány helyettesítésével. Az ügyfél rendszerén egy további gyökér tanúsítvány kerül telepítésre, amely lehetővé teszi a forgalmiellenőrző rendszer működésének elrejtését. Az antivírus beavatkozik a védett forgalomba, és bizonyos oldalakra saját JavaScript kódot illeszt be a Safe Search funkció végrehajtásához, míg a védett kapcsolat tanúsítványával kapcsolatos problémák esetén az hibás oldal kiadását a sajátjával helyettesíti. Mivel az új hibaoldal a megnyitott szerver nevében kerül kiadásra, a szerver további oldalai teljes hozzáféréssel bírnak a Bitdefender által beszúrt tartalomhoz.
Ha egy támadó által ellenőrzött weboldalt nyitunk meg, az az oldal küldhet egy XMLHttpRequest lekérést, és szimulálhatja a HTTPS tanúsítvánnyal kapcsolatos problémát, ami hibás oldal visszaadásához vezet, amit a Bitdefender helyettesít. Mivel a hibaoldal a támadó domain kontextusában nyílik meg, az képes olvasni a Bitdefender által módosított oldal tartalmát. A Bitdefender által beszerkesztett oldalon szerepel egy munkamenet kulcs is, amely lehetővé teszi a Bitdefender belső API-jának felhasználásával egy külön Safepay böngésző munkamenet indítását, megadva bármilyen parancssori kapcsolót, és lehetőséget ad bármilyen rendszerparancs végrehajtására a „--utility-cmd-prefix” kapcsoló segítségével. Például exploit (param1 és param2 - a hibaoldalról kapott értékek):
var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
request.setRequestHeader("BDNDSS_B67EA559F21B487F861FDA8A44F01C50", param1);
request.setRequestHeader("BDNDCA_BBACF84D61A04F9AA66019A14B035478", param2);
request.setRequestHeader("BDNDWB_5056E556833D49C1AF4085CB254FC242", "obk.run");
request.setRequestHeader("BDNDOK_4E961A95B7B44CBCA1907D3D3643370D", location.href);
request.send(«data:text/html,nada —utility-cmd-prefix=\»cmd.exe /k whoami & echo\»»);
Emlékeztetünk, hogy a 2017-ben végzett kutatás , amely alapján 24 a 26 tesztelt vírusirtó termék, amely HTTPS forgalmat ellenőriz HTTPS tanúsítványok cseréjével, csökkentette a HTTPS kapcsolat általános biztonsági szintjét.
A megfelelő titkosítási szettek csak 11 a 26 termékben voltak elérhetőek. 5 rendszer nem ellenőrizte a tanúsítványokat (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). A Kaspersky Internet Security és a Total Security termékek sérülékenyek voltak támadásokkal szemben. , míg az AVG, Bitdefender és Bullguard termékek támadásokkal szemben védtelenek. és . A Dr.Web Antivirus 11 termék lehetővé teszi, hogy visszatérjünk megbízhatatlan export titkosításokhoz (támadás ).
Forrás: opennet.ru
