Во Adblock Plus блокатор на реклами ранливост, организирајте го извршувањето на JavaScript кодот во контекст на сајтови, во случај на користење непроверени филтри подготвени од напаѓачи (на пример, кога поврзувате групи правила од трети страни или преку замена на правила за време на напад на MITM).
Авторите на списоци со множества филтри можат да го организираат извршувањето на нивниот код во контекст на страниците отворени од корисникот со додавање правила со операторот "", што ви овозможува да замените дел од URL-адресата. Операторот за препишување не ви дозволува да го замените домаќинот во URL-то, но ви дозволува слободно да манипулирате со аргументите на барањето. Само текстот може да се користи како замена за маска, а дозволена е замена на ознаки за скрипта, објект и поддокумент .
Сепак, извршувањето на кодот може да се постигне со заобиколување.
Некои сајтови, вклучувајќи ги Google Maps, Gmail и Google Images, користат техника на динамичко вчитување извршни блокови JavaScript, пренесени во форма на гол текст. Ако серверот дозволува пренасочување на барањето, тогаш пренасочувањето до друг домаќин може да се постигне со промена на параметрите на URL-то (на пример, во контекст на Google, може да се направи пренасочување преку API ""). Покрај хостовите кои дозволуваат пренасочување, напад може да се изврши и против услуги кои дозволуваат објавување на корисничка содржина (хостирање на кодови, платформи за објавување написи итн.).
Предложениот метод за напад влијае само на страниците кои динамички вчитуваат низи од кодот JavaScript (на пример, преку XMLHttpRequest или Fetch) и потоа ги извршуваат. Друго важно ограничување е потребата да се користи пренасочување или да се постават произволни податоци на страната на оригиналниот сервер што го издава ресурсот. Меѓутоа, за да се покаже релевантноста на нападот, прикажано е како да се организира извршувањето на вашиот код при отворање на maps.google.com, користејќи пренасочување преку „google.com/search“.
Поправката е сè уште во подготовка. Проблемот влијае и на блокаторите и . Блокаторот uBlock Origin не е засегнат од проблемот, бидејќи не го поддржува операторот „препишување“. Едно време авторот на uBlock Origin
додајте поддршка за препишување, наведувајќи ги потенцијалните безбедносни проблеми и недоволните ограничувања на ниво на домаќинот (беше предложена опција за прашалник наместо препишување за да се исчистат параметрите на барањето наместо да се заменат).
Програмерите на Adblock Plus сметаат дека вистинските напади се малку веројатни, бидејќи сите промени на стандардните списоци на правила се прегледуваат, а поврзувањето списоци од трети страни е исклучително ретко меѓу корисниците. Замената на правилата преку MITM е спречена со стандардната употреба на HTTPS за преземање стандардни блок листи (за други списоци се планира да се забрани преземањето преку HTTP во идно издание). Директивите може да се користат за блокирање на напад на страната на локацијата (Политика за безбедност на содржината), преку која може експлицитно да ги одредите хостовите од кои може да се вчитаат надворешни ресурси.
Извор: opennet.ru