Sårbarhet i Adblock Plus som möjliggör kodexekvering vid användning av tveksamma filter

I reklamblockeraren Adblock Plus upptäcktes sårbarhet, som möjliggör utförande av JavaScript-kod i kontexten av webbplatser, om det används otestade filter som har förberetts av illvilliga aktörer (till exempel vid anslutning av externa regelset eller genom att byta regler under en MITM-attack).

Författare till regelset kan möjliggöra exekvering av sin kod i kontexten av användaröppnade webbplatser genom att lägga till regler med operatorn "rewrite", som tillåter att en del av URL:en byts ut. Rewrite-operatorn tillåter inte byten av värd i URL:en, men möjliggör fri manipulation av förfrågningsparametrar. Endast text får användas som ersättningsmask, och insättning av script-, object- och subdocument-taggar blockeras.

Ändå kan kod exekveras genom en kringgående metod.
Vissa webbplatser, inklusive Google Maps, Gmail och Google Images, använder tekniken för dynamisk inläsning av exekverbara JavaScript-block som överförs i form av ren text. Om servern tillåter omdirigering av förfrågningar kan en omdirigering till en annan värd uppnås genom att byta ut URL-parametrar (till exempel kan en omdirigering i Google ske via API:et "google.com/search"). Förutom värdar som tillåter omdirigering kan attacken även riktas mot tjänster som tillåter användargenererat innehåll (kodhosting, artikelplattformar, etc.).

Den föreslagna attackmetoden påverkar endast sidor som dynamiskt laddar rader med JavaScript-kod (till exempel via XMLHttpRequest eller Fetch) och sedan exekverar dem. En annan viktig begränsning är behovet av att använda omdirigering eller placering av godtyckliga data på sidan av den ursprungliga servern som ger resurser. Ändå demonstrerar exempelvis hur man organiserar exekvering av sin kod vid öppnande av maps.google.com, genom att använda omdirigering via "google.com/search".

En lösning är fortfarande under förberedelse. Problemet påverkar också blockerare AdBlock och uBlock. Blockeraren uBlock Origin är inte påverkad av problemet, eftersom den inte stödjer operatorn "rewrite". En gång i tiden avstod författaren till uBlock Origin.
från lägga till stöd för omdirigeringar, med hänvisning till potentiella säkerhetsproblem och otillräckliga begränsningar på värdnivå (i stället för omdirigering föreslogs alternativet querystrip för att rensa bort frågeparametrar istället för att ersätta dem).

Utvecklarna av Adblock Plus anser att verkliga attacker är osannolika, eftersom alla ändringar i de officiella regelverken granskas, och att användarna sällan ansluter externa listor. Ersättning av regler via MITM utesluts av användningen av HTTPS som standard för nedladdning av de officiella blockeringslistorna (för övriga listor planeras ett förbud mot nedladdning via HTTP i framtida versioner). För att blockera attacker på webbplatsers sida kan direktiv användas, CSP (Content Security Policy), genom vilka man tydligt kan definiera värdar från vilka externa resurser får laddas.

Källa: opennet.ru