Vladimir Palant, criador do Adblock Plus, () em um navegador web especializado baseado no motor Chromium, Safepay, que é oferecido como parte do pacote antivírus Bitdefender Total Security 2020 e tem como objetivo aumentar a segurança do usuário na rede global (por exemplo, fornecendo isolamento adicional ao acessar bancos e sistemas de pagamento). A vulnerabilidade permite que sites abertos no navegador executem código arbitrário com privilégios do sistema operacional.
A razão do problema está no fato de que o antivírus Bitdefender realiza a interceptação local do tráfego HTTPS substituindo o certificado TLS original do site. Um certificado raiz adicional é instalado no sistema do cliente, permitindo ocultar o funcionamento do sistema de inspeção de tráfego aplicado. O antivírus se insere no tráfego seguro e insere seu próprio código JavaScript em algumas páginas para implementar a função Safe Search e, em caso de problemas com o certificado da conexão segura, substitui a página de erro apresentada por uma própria. Como a nova página de erro é apresentada em nome do servidor acessado, outras páginas desse servidor têm acesso completo ao conteúdo inserido pelo Bitdefender.
Ao abrir um site controlado por um atacante, este local pode enviar uma solicitação XMLHttpRequest e simular um problema com o certificado HTTPS na resposta, resultando em uma página de erro substituída pelo Bitdefender. Como a página de erro é aberta no contexto do domínio do atacante, ele pode ler o conteúdo da página substituída com os parâmetros do Bitdefender. Na página substituída do Bitdefender, está presente também a chave de sessão, o que permite, através da API interna do Bitdefender, iniciar uma nova sessão do navegador Safepay, especificando diferentes flags de linha de comando e executando quaisquer comandos do sistema usando a flag "—utility-cmd-prefix". Um exemplo de exploit (param1 e param2 são valores obtidos da página de erro):
var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
request.setRequestHeader("BDNDSS_B67EA559F21B487F861FDA8A44F01C50", param1);
request.setRequestHeader("BDNDCA_BBACF84D61A04F9AA66019A14B035478", param2);
request.setRequestHeader("BDNDWB_5056E556833D49C1AF4085CB254FC242", "obk.run");
request.setRequestHeader("BDNDOK_4E961A95B7B44CBCA1907D3D3643370D", location.href);
request.send(«data:text/html,nada —utility-cmd-prefix=\»cmd.exe /k whoami & echo\»»);
Lembramos que um estudo realizado em 2017 , que 24 dos 26 produtos antivírus testados, que inspecionavam o tráfego HTTPS através da substituição de certificados, diminuíam o nível geral de segurança da conexão HTTPS.
Conjuntos de cifras atualizados eram fornecidos apenas em 11 dos 26 produtos. 5 sistemas não realizavam a verificação de certificados (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). Os produtos Kaspersky Internet Security e Total Security estavam vulneráveis a ataques , enquanto os produtos AVG, Bitdefender e Bullguard eram vulneráveis a ataques e . O produto Dr.Web Antivirus 11 permite retroceder para cifras exportadas não seguras (ataque ).
Fonte: opennet.ru
