פגיעות ב-Adblock Plus המאפשרת ביצוע קוד בעת שימוש במסננים מפוקפקים

ב-Adblock Plus חוסם פרסומות מזוהה פגיעות, מְאַפשֶׁר לארגן את הביצוע של קוד JavaScript בהקשר של אתרים, במקרה של שימוש במסננים לא מאומתים שהוכנו על ידי תוקפים (לדוגמה, בעת חיבור מערכות כללים של צד שלישי או באמצעות החלפת כללים במהלך מתקפת MITM).

מחברי רשימות עם סטים של מסננים יכולים לארגן את ביצוע הקוד שלהם בהקשר של אתרים שנפתחו על ידי המשתמש על ידי הוספת כללים עם המפעיל "לְשַׁכְתֵב", המאפשר לך להחליף חלק מכתובת האתר. אופרטור השכתוב אינו מאפשר לך להחליף את המארח בכתובת ה-URL, אך הוא כן מאפשר לך לתפעל באופן חופשי את ארגומנטי הבקשה. רק טקסט יכול לשמש כמסיכה חלופית, ומותר להחליף תגי סקריפט, אובייקט ותתי מסמכים חָסוּם.

עם זאת, ניתן להשיג ביצוע קוד בפתרון עוקף.
חלק מהאתרים, כולל מפות Google, Gmail ו-Google Images, משתמשים בטכניקה של טעינה דינמית של בלוקי JavaScript הניתנים להפעלה, המועברים בצורה של טקסט חשוף. אם השרת מאפשר הפניית בקשה מחדש, ניתן להשיג העברה למארח אחר על ידי שינוי הפרמטרים של כתובת האתר (לדוגמה, בהקשר של Google, ניתן לבצע הפניה דרך ה-API "google.com/search"). בנוסף למארחים המאפשרים ניתוב מחדש, ניתן לבצע תקיפה גם נגד שירותים המאפשרים פרסום תוכן משתמש (אחסון קוד, פלטפורמות לפרסום מאמרים וכו').

שיטת ההתקפה המוצעת משפיעה רק על דפים שטוענים באופן דינמי מחרוזות של קוד JavaScript (לדוגמה, באמצעות XMLHttpRequest או Fetch) ואז מבצעים אותם. מגבלה חשובה נוספת היא הצורך להשתמש בהפניה מחדש או למקם נתונים שרירותיים בצד של השרת המקורי המנפיק את המשאב. עם זאת, כדי להדגים את הרלוונטיות של המתקפה, מוצג כיצד לארגן את ביצוע הקוד שלך בעת פתיחת maps.google.com, באמצעות הפניה דרך "google.com/search".

התיקון עדיין בהכנה. הבעיה משפיעה גם על חוסמים AdBlock и uBlock. חוסם uBlock Origin אינו מושפע מהבעיה, מכיוון שהוא אינו תומך באופרטור "שכתוב". פעם המחבר של uBlock Origin
סירב הוסף תמיכה לשכתוב, תוך ציון בעיות אבטחה פוטנציאליות והגבלות לא מספיקות ברמת המארח (הוצעה אפשרות של רצועת querystrip במקום שכתוב כדי לנקות פרמטרים של שאילתה במקום להחליף אותם).

מפתחי Adblock Plus מחשיבים התקפות אמיתיות כבלתי סבירות, מכיוון שכל השינויים ברשימות הכללים הסטנדרטיות נבדקות, וחיבור רשימות של צד שלישי הוא נדיר ביותר בקרב משתמשים. החלפת כללים באמצעות MITM נמנעת על ידי שימוש ברירת המחדל של HTTPS להורדת רשימות חסימה סטנדרטיות (עבור רשימות אחרות מתוכנן לאסור הורדה באמצעות HTTP במהדורה עתידית). ניתן להשתמש בהנחיות כדי לחסום התקפה בצד האתר CSP (מדיניות אבטחת תוכן), באמצעותה ניתן לקבוע במפורש את המארחים מהם ניתן לטעון משאבים חיצוניים.

מקור: OpenNet.ru