Vladimir Palant, creatore di Adblock Plus, () nel browser web specializzato Safepay, basato sul motore Chromium, incluso nel pacchetto antivirus Bitdefender Total Security 2020, progettato per migliorare la sicurezza dell'utente nella rete globale (ad esempio, fornisce un'ulteriore isolamento quando si accede a banche e sistemi di pagamento). La vulnerabilità consente ai siti aperti nel browser di eseguire codice arbitrario a livello di sistema operativo.
Il problema è dovuto al fatto che l'antivirus Bitdefender intercetta localmente il traffico HTTPS sostituendo il certificato TLS originale del sito. Un certificato radice aggiuntivo viene installato sul sistema del cliente, consentendo di mascherare l'operazione del sistema di ispezione del traffico usato. L'antivirus si inserisce nel traffico protetto e inserisce in alcune pagine il proprio codice JavaScript per implementare la funzione Safe Search, e in caso di problemi con il certificato della connessione sicura sostituisce la pagina con errore con la propria. Poiché la nuova pagina con errore viene restituita a nome del server aperto, altre pagine di questo server hanno accesso completo al contenuto inserito da Bitdefender.
Quando si apre un sito controllato da un attaccante, questo sito può inviare una richiesta XMLHttpRequest e simulare un problema con il certificato HTTPS nella risposta, portando al ritorno di una pagina di errore sostituita da Bitdefender. Poiché la pagina con errore è aperta nel contesto del dominio dell'attaccante, può leggere il contenuto della pagina sostituita con i parametri di Bitdefender. Nella pagina fornita da Bitdefender è incluso anche una chiave di sessione, che consente tramite l'API interna di Bitdefender di avviare una sessione separata del browser Safepay, specificando vari flag della riga di comando e avviando qualsiasi comando di sistema utilizzando il flag "—utility-cmd-prefix". Esempio di exploit (param1 e param2 sono valori ottenuti dalla pagina con errore):
var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
request.setRequestHeader("BDNDSS_B67EA559F21B487F861FDA8A44F01C50", param1);
request.setRequestHeader("BDNDCA_BBACF84D61A04F9AA66019A14B035478", param2);
request.setRequestHeader("BDNDWB_5056E556833D49C1AF4085CB254FC242", "obk.run");
request.setRequestHeader("BDNDOK_4E961A95B7B44CBCA1907D3D3643370D", location.href);
request.send("data:text/html,nada —utility-cmd-prefix=\"cmd.exe /k whoami & echo\"" );
Ricordiamo che uno studio condotto nel 2017 , ha rivelato che 24 dei 26 prodotti antivirus testati, che ispezionano il traffico HTTPS tramite la sostituzione dei certificati, riducevano il livello complessivo di sicurezza della connessione HTTPS.
Set di cifratura attuali erano forniti solo in 11 dei 26 prodotti. 5 sistemi non effettuavano la verifica dei certificati (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). I prodotti Kaspersky Internet Security e Total Security erano vulnerabili ad attacchi , mentre i prodotti AVG, Bitdefender e Bullguard erano soggetti ad attacchi e . Il prodotto Dr.Web Antivirus 11 consente di tornare a cifrature di esportazione non affidabili (attacco ).
Fonte: opennet.ru
