Πρόσφατα ανακαλύφθηκε ότι το δημοφιλές πρόγραμμα αποκλεισμού διαφημίσεων «Το Adblock Plus »έχει μια ευπάθεια που επιτρέπει την οργάνωση της εκτέλεσης κώδικα JavaScript στους ιστότοπους, σε περίπτωση χρήσης μη δοκιμασμένων φίλτρων που προετοιμάστηκαν από τρίτους με κακόβουλη πρόθεση (για παράδειγμα, συνδέοντας σύνολα κανόνων τρίτου μέρους ή με αντικατάσταση κανόνων κατά τη διάρκεια της επίθεσης MITM).
Λίστα συγγραφέων με σετ φίλτρων μπορεί να οργανώσει την εκτέλεση του κωδικού τους στο πλαίσιο ιστότοπων προσβάσιμων στο χρήστης προσθέτοντας κανόνες με το χειριστή »$ rewrite«, το οποίο επιτρέπει την αντικατάσταση μέρους του URL
Πώς είναι δυνατή αυτή η εκτέλεση κώδικα;
Δήλωση της Το $ rewrite δεν επιτρέπει την αντικατάσταση του κεντρικού υπολογιστή στο url, αλλά παρέχει την ευκαιρία να χειριστούμε ελεύθερα τα επιχειρήματα του αιτήματος.
ωστόσο μπορεί να επιτευχθεί εκτέλεση κώδικα. Ορισμένοι ιστότοποι, όπως οι Χάρτες Google, το Gmail και οι Εικόνες Google, Χρησιμοποιούν την τεχνική δυναμικής φόρτωσης εκτελέσιμων μπλοκ JavaScript που μεταδίδονται με τη μορφή απλού κειμένου.
Εάν ο διακομιστής επιτρέπει την ανακατεύθυνση αιτημάτων, τότε μπορεί να προωθηθεί σε άλλο κεντρικό υπολογιστή αλλάζοντας τις παραμέτρους της διεύθυνσης URL (για παράδειγμα, στο πλαίσιο της Google, μπορεί να γίνει ανακατεύθυνση μέσω του API »google.com/search«) .
συν κεντρικοί υπολογιστές που επιτρέπουν ανακατεύθυνση, μπορείτε επίσης να πραγματοποιήσετε μια επίθεση ενάντια σε υπηρεσίες που επιτρέπουν την τοποθεσία του περιεχομένου χρήστη (φιλοξενία κώδικα, πλατφόρμα τοποθέτησης άρθρων κ.λπ.).
Η μέθοδος του Η προτεινόμενη επίθεση επηρεάζει μόνο σελίδες που φορτώνουν δυναμικά συμβολοσειρές με κώδικα JavaScript (για παράδειγμα, μέσω XMLHttpRequest ή Fetch) και στη συνέχεια εκτελέστε τα.
Ένας άλλος σημαντικός περιορισμός είναι η ανάγκη χρήσης ανακατεύθυνσης ή τοποθέτησης αυθαίρετων δεδομένων στο πλάι του διακομιστή προέλευσης που παρέχει τον πόρο.
Ωστόσο, ως απόδειξη της σημασίας μιας επίθεσης, σας δείχνει πώς να οργανώσετε την εκτέλεση του κώδικα ανοίγοντας maps.google.com χρησιμοποιώντας μια ανακατεύθυνση μέσω του "google.com/search".
Στην πραγματικότητα, τα αιτήματα για χρήση XMLHttpRequest ή Fetch για λήψη απομακρυσμένων σεναρίων για εκτέλεση δεν θα αποτύχουν όταν χρησιμοποιείται η επιλογή $ rewrite.
Επίσης, η ανοιχτή ανακατεύθυνση είναι εξίσου σημαντική επειδή επιτρέπει στο XMLHttpRequest να διαβάσει το σενάριο από μια απομακρυσμένη τοποθεσία, παρόλο που φαίνεται ότι προέρχεται από την ίδια πηγή.
Εργάζονται ήδη για την επίλυση του προβλήματος
Η λύση βρίσκεται ακόμη υπό προετοιμασία. Το πρόβλημα επηρεάζει επίσης τους αποκλειστές AdBlock και uBlock. Ο αποκλειστής προέλευσης uBlock δεν είναι ευαίσθητος στο πρόβλημα, καθώς δεν υποστηρίζει τον τελεστή «$ rewrite».
Σε ένα σημείο, ο συντάκτης uBlock Origin αρνήθηκε να προσθέσει υποστήριξη επανεγγραφής $, αναφέροντας πιθανά ζητήματα ασφαλείας και ανεπαρκούς περιορισμούς σε επίπεδο κεντρικού υπολογιστή (αντί για επανεγγραφή, προτάθηκε η επιλογή querystrip για την εκκαθάριση παραμέτρων ερωτήματος αντί να τις αντικαταστήσει).
Είναι δική μας ευθύνη να προστατεύουμε τους χρήστες μας.
Παρά τον πολύ χαμηλό πραγματικό κίνδυνο, αποφασίσαμε να καταργήσουμε την επιλογή $ rewrite. Επομένως, θα κυκλοφορήσουμε μια ενημερωμένη έκδοση του Adblock Plus το συντομότερο δυνατό από τεχνική άποψη.
Αυτό το κάνουμε ως προφύλαξη. Δεν έχει γίνει καμία προσπάθεια κατάχρησης της επιλογής επανεγγραφής και θα κάνουμε το καλύτερο δυνατό για να αποτρέψουμε κάτι τέτοιο.
Αυτό σημαίνει ότι δεν υπάρχει απειλή για κανέναν χρήστη του Adblock Plus.
Το ΔΟι προγραμματιστές του Adblock Plus θεωρούν απίθανο τις πραγματικές επιθέσεις, καθώς όλες οι αλλαγές στις κανονικές λίστες κανόνων εξετάζονται και η σύνδεση λιστών τρίτων ασκείται από τους χρήστες πολύ σπάνια.
Η αντικατάσταση κανόνα μέσω MITM καταργεί τη χρήση HTTPS από προεπιλογή για να φορτώσετε κανονικές λίστες αποκλεισμού (για τις υπόλοιπες λίστες προγραμματίζεται η απαγόρευση λήψης HTTP σε μελλοντική έκδοση).
Για να αποκλείσετε επιθέσεις από την πλευρά των ιστότοπων, Μπορούν να εφαρμοστούν οδηγίες CSP (Πολιτική ασφάλειας περιεχομένου), μέσω της οποίας μπορείτε να προσδιορίσετε ρητά τους κεντρικούς υπολογιστές από τους οποίους μπορούν να φορτωθούν εξωτερικοί πόροι.
πηγή: https://adblockplus.org, https://armin.dev