एक एडब्लॉक प्लस भेद्यता तीसरे पक्ष के कोड को चलाने की अनुमति देता है

हाल ही में यह पता चला था कि लोकप्रिय विज्ञापन अवरोधक «एडब्लॉक प्लस »में एक भेद्यता है जो जावास्क्रिप्ट कोड के निष्पादन को व्यवस्थित करने की अनुमति देती है साइटों पर, तीसरे पक्ष द्वारा तैयार किए गए अप्रयुक्त फिल्टर का उपयोग करने के मामले में दुर्भावनापूर्ण इरादे से (उदाहरण के लिए, MITM हमले के दौरान तृतीय-पक्ष नियम सेट या नियम प्रतिस्थापन से कनेक्ट करके)।

फ़िल्टर सेट के साथ लेखकों की सूची बनाएं के लिए सुलभ साइटों के संदर्भ में उनके कोड के निष्पादन को व्यवस्थित कर सकते हैं उपयोगकर्ता ऑपरेटर के साथ नियम जोड़ रहा है »$ rewrite«, जो URL के भाग को बदलने की अनुमति देता है।

यह कोड निष्पादन कैसे संभव है?

घोषणा $ पुनर्लेखन मेजबान को बदलने की अनुमति नहीं देता है url में, लेकिन यह तर्कों को स्वतंत्र रूप से हेरफेर करने का अवसर प्रदान करता है अनुरोध के।

तथापि कोड निष्पादन प्राप्त किया जा सकता है। कुछ साइटें, जैसे कि Google मैप्स, जीमेल, और Google छवियां, वे सादे पाठ के रूप में प्रेषित गतिशील रूप से लोड करने योग्य जावास्क्रिप्ट ब्लॉक की तकनीक का उपयोग करते हैं।

यदि सर्वर अनुरोधों के पुनर्निर्देशन की अनुमति देता है, तो यह URL के मापदंडों को बदलकर किसी अन्य होस्ट को भेजा जा सकता है (उदाहरण के लिए, Google के संदर्भ में, एपीआई »google.com/search« के माध्यम से एक पुनर्निर्देशन किया जा सकता है) ।

के अलावा होस्ट जो पुनर्निर्देशन की अनुमति देते हैं, आप एक हमले भी कर सकते हैं उन सेवाओं के विरुद्ध जो उपयोगकर्ता सामग्री (कोड होस्टिंग, लेख प्लेसमेंट प्लेटफ़ॉर्म, आदि) के स्थान की अनुमति देती हैं।

की विधि प्रस्तावित आक्रमण केवल उन पृष्ठों को प्रभावित करता है जो जावास्क्रिप्ट कोड के साथ गतिशील रूप से लोड लोड करते हैं (उदाहरण के लिए, XMLHttpRequest या Fetch के माध्यम से) और फिर उन्हें चलाएं।

एक अन्य प्रमुख सीमा संसाधन प्रदान करने वाले मूल सर्वर के किनारे पर पुनर्निर्देशित या मनमाना डेटा का उपयोग करने की आवश्यकता है।

हालांकि, एक हमले की प्रासंगिकता के प्रदर्शन के रूप मेंदिखाता है कि "google.com/search" के माध्यम से redirect का उपयोग करके maps.google.com खोलकर अपने कोड निष्पादन को कैसे व्यवस्थित करें।

वास्तव में, दूरस्थ स्क्रिप्ट डाउनलोड करने के लिए XMLHttpRequest या Fetch का उपयोग करने का अनुरोध $ rewrite विकल्प का उपयोग करने पर विफल नहीं होगा।

इसके अलावा, खुला पुनर्निर्देशन सिर्फ उतना ही महत्वपूर्ण है क्योंकि यह XMLHttpRequest को दूरस्थ साइट से स्क्रिप्ट पढ़ने की अनुमति देता है, भले ही यह उसी स्रोत से प्रतीत होता हो।

वे पहले से ही समस्या को सुलझाने पर काम कर रहे हैं

समाधान अभी भी तैयारी में है। समस्या AdBlock और uBlock ब्लॉकर्स को भी प्रभावित करती है। UBlock उत्पत्ति अवरोधक समस्या के प्रति अतिसंवेदनशील नहीं है क्योंकि यह »$ rewrite» ऑपरेटर का समर्थन नहीं करता है।

एक बिंदु पर, ओब्लॉक ओरिजिन लेखक ने संभव सुरक्षा मुद्दों और अपर्याप्त होस्ट-स्तरीय प्रतिबंधों का हवाला देते हुए $ पुनर्लेखन समर्थन को जोड़ने से इनकार कर दिया (पुनर्लेखन के बजाय, उन्हें बदलने के बजाय क्वेरी पैरामीटर को साफ़ करने का विकल्प प्रस्तावित किया गया था)।

हमारे उपयोगकर्ताओं की सुरक्षा करना हमारी जिम्मेदारी है।

बहुत कम वास्तविक जोखिम के बावजूद, हमने $ पुनर्लेखन विकल्प को हटाने का फैसला किया। इसलिए, हम तकनीकी रूप से जल्द से जल्द एडब्लॉक प्लस का एक अद्यतन संस्करण जारी करेंगे।

हम एहतियात के तौर पर ऐसा करते हैं। पुनर्लेखन विकल्प के दुरुपयोग का कोई प्रयास नहीं किया गया है और हम इसे रोकने के लिए अपनी पूरी कोशिश करेंगे।

इसका मतलब है कि किसी भी एडब्लॉक प्लस उपयोगकर्ता के लिए कोई खतरा नहीं है।

द डीएडब्लॉक प्लस डेवलपर्स वास्तविक हमलों की संभावना नहीं मानते हैं, चूंकि नियमित नियम सूचियों के सभी परिवर्तनों की समीक्षा की जाती है और उपयोगकर्ताओं द्वारा तृतीय-पक्ष सूचियों का कनेक्शन बहुत ही कम किया जाता है।

MITM के माध्यम से नियम प्रतिस्थापन, डिफ़ॉल्ट रूप से HTTPS के उपयोग को हटा देता है नियमित ब्लॉक सूचियों को लोड करने के लिए (शेष सूचियों के लिए इसे भविष्य के रिलीज में HTTP डाउनलोड पर प्रतिबंध लगाने की योजना बनाई गई है)।

साइटों पर हमलों को रोकने के लिए, सीएसपी निर्देशों को लागू किया जा सकता है (सामग्री सुरक्षा नीति), जिसके माध्यम से आप उन मेजबानों की स्पष्ट रूप से पहचान कर सकते हैं जिनसे बाहरी संसाधन लोड किए जा सकते हैं।

Fuente: https://adblockplus.org, https://armin.dev