Sårbarhet i den skyddade webbläsaren Bitdefender SafePay som kan leda till kodexekvering

Vladimir Palant, skaparen av Adblock Plus, identifierade sårbarhet (CVE-2020-8102) i den Chromium-baserade specialiserade webbläsaren Safepay, som erbjuds som en del av antiviruspaketet Bitdefender Total Security 2020 och syftar till att öka säkerheten för användarens arbete på det globala nätet (till exempel tillhandahålls extra isolering vid kontakt med banker och betalningssystem). Sårbarheten gör det möjligt för webbplatser som öppnas i webbläsaren att köra godtycklig kod på operativsystemsnivå.

Problemet beror på att antivirusprogrammet Bitdefender utför lokal avlyssning av HTTPS-trafik genom att ersätta det ursprungliga TLS-certifikatet för webbplatsen. En extra rotcertifikat installeras på klientens system, vilket gör det möjligt att dölja arbetet med det inspektionssystem som används. Antivirusprogrammet införlivar sig i den skyddade trafiken och infogar sin egen JavaScript-kod på vissa sidor för att implementera funktionen Safe Search, och om det uppstår problem med certifikatet för den skyddade anslutningen ersätter det den visade fel sidan med sin egen. Eftersom den nya fel sidan visas i namn av den öppnade servern har andra sidor på denna server full tillgång till innehållet som Bitdefender infogar.

Vid öppnande av en webbplats som kontrolleras av en angripare kan denna webbplats skicka en XMLHttpRequest och simulera ett svar med problem med HTTPS-certifikatet, vilket leder till att en fel sida, som har ersatts av Bitdefender, visas. Eftersom fel sidan öppnas i kontexten för angriparens domän kan han läsa innehållet på den ersatta sidan med Bitdefenders parametrar. På den ersatta sidan av Bitdefender finns också en sessionsnyckel som gör att man via Bitdefenders interna API kan starta en separat session i webbläsaren Safepay, och vid behov ange godtyckliga kommandoradsflaggor för att utföra vilka systemkommandon som helst med flaggan "--utility-cmd-prefix". Ett exempel på exploiten (param1 och param2 är värden som erhållits från fel sidan):

var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
request.setRequestHeader("BDNDSS_B67EA559F21B487F861FDA8A44F01C50", param1);
request.setRequestHeader("BDNDCA_BBACF84D61A04F9AA66019A14B035478", param2);
request.setRequestHeader("BDNDWB_5056E556833D49C1AF4085CB254FC242", "obk.run");
request.setRequestHeader("BDNDOK_4E961A95B7B44CBCA1907D3D3643370D", location.href);
request.send(«data:text/html,nada —utility-cmd-prefix=\»cmd.exe /k whoami & echo\»»);

Vi påminner om att undersökningen som genomfördes 2017 visade, att 24 av 26 testade antivirusprodukter, som inspekterar HTTPS-trafik genom certifikatmanipulation, sänkte den övergripande säkerhetsnivån för HTTPS-anslutningen.
De aktuella krypteringssatserna erbjöds endast i 11 av 26 produkter. 5 system genomförde ingen certifikatverifiering (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). Produkterna Kaspersky Internet Security och Total Security var sårbara för attacker CRIME, medan produkterna AVG, Bitdefender och Bullguard också utsattes för attacker Logjam och POODLE. Produkten Dr.Web Antivirus 11 tillåter att man går tillbaka till osäkra exportkrypteringar (attack FREAK).

Källa: opennet.ru