Vladimir Palant, creatore di Adblock Plus, () nel browser web specializzato Safepay, basato sul motore Chromium, offerto nel pacchetto antivirus Bitdefender Total Security 2020 e mirato a migliorare la sicurezza dell'utente nella rete globale (ad esempio, fornisce un'ulteriore isolamento durante l'accesso a banche e sistemi di pagamento). La vulnerabilità consente ai siti web aperti nel browser di eseguire codice arbitrario a livello di sistema operativo.
La causa del problema è che l'antivirus Bitdefender esegue un'intercettazione locale del traffico HTTPS tramite la sostituzione del certificato TLS originale del sito. Nel sistema del cliente viene installato un certificato radice aggiuntivo, che consente di nascondere il funzionamento del sistema di ispezione del traffico applicato. L'antivirus si inserisce nel traffico protetto e introduce in alcune pagine il proprio codice JavaScript per implementare la funzione Safe Search, e in caso di problemi con il certificato della connessione sicura sostituisce la pagina di errore restituita con la propria. Poiché la nuova pagina di errore viene fornita a nome del server aperto, altre pagine di questo server hanno accesso completo al contenuto inserito da Bitdefender.
Aprendo un sito controllato dall'aggressore, questo sito può inviare una richiesta XMLHttpRequest e simulare nel rispondere un problema con il certificato HTTPS, portando così a visualizzare una pagina di errore sostituita da Bitdefender. Poiché la pagina di errore è aperta nel contesto del dominio dell'attaccante, può leggere il contenuto della pagina sostituita con i parametri di Bitdefender. Nella pagina fornita da Bitdefender è presente anche una chiave di sessione, che consente, attraverso l'API interna di Bitdefender, di avviare una sessione separata del browser Safepay, specificando parametri arbitrari della riga di comando, e di eseguire qualsiasi comando di sistema usando il flag "—utility-cmd-prefix". Esempio di exploit (param1 e param2 sono valori ottenuti dalla pagina di errore):
var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
request.setRequestHeader("BDNDSS_B67EA559F21B487F861FDA8A44F01C50", param1);
request.setRequestHeader("BDNDCA_BBACF84D61A04F9AA66019A14B035478", param2);
request.setRequestHeader("BDNDWB_5056E556833D49C1AF4085CB254FC242", "obk.run");
request.setRequestHeader("BDNDOK_4E961A95B7B44CBCA1907D3D3643370D", location.href);
request.send(«data:text/html,nada —utility-cmd-prefix=\»cmd.exe /k whoami & echo\»»);
Ricordiamo che uno studio condotto nel 2017 , ha rivelato che 24 dei 26 prodotti antivirus testati, che ispezionano il traffico HTTPS tramite sostituzione dei certificati, riducevano il livello generale di sicurezza della connessione HTTPS.
Set di crittografia aggiornati erano disponibili solo in 11 dei 26 prodotti. 5 sistemi non effettuavano la verifica dei certificati (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). I prodotti Kaspersky Internet Security e Total Security erano vulnerabili ad attacchi , mentre i prodotti AVG, Bitdefender e Bullguard erano soggetti ad attacchi e . Il prodotto Dr.Web Antivirus 11 consente di tornare a crittografie di esportazione inaffidabili (attacco ).
Fonte: opennet.ru
