recent s-a descoperit că popularul blocator de reclame «Adblock Plus »are o vulnerabilitate care permite organizarea executării codului JavaScript pe site-uri, în cazul utilizării filtrelor netestate pregătite de terți cu intenție malițioasă (de exemplu, prin conectarea seturilor de reguli terțe sau prin substituirea regulilor în timpul atacului MITM).
Listează autorii cu seturi de filtre pot organiza executarea codului lor în contextul site-urilor accesibile pentru utilizator adăugând reguli cu operatorul "$ rewrite", care permite înlocuirea unei părți a adresei URL.
Cum este posibilă executarea acestui cod?
Declarația de $ rewrite nu permite înlocuirea gazdei în adresa URL, dar oferă posibilitatea de a manipula liber argumentele a cererii.
Totuși executarea codului poate fi realizată. Unele site-uri, cum ar fi Google Maps, Gmail și Google Images, utilizează tehnica de încărcare dinamică a blocurilor executabile JavaScript transmise sub formă de text simplu.
Dacă serverul permite redirecționarea solicitărilor, atunci acesta poate fi redirecționat către o altă gazdă modificând parametrii adresei URL (de exemplu, în contextul Google, o redirecționare se poate face prin API »google.com/search«) .
plus gazde care permit redirecționarea, puteți comite și un atac împotriva serviciilor care permit localizarea conținutului utilizatorului (găzduirea codului, platforma de plasare a articolelor etc.).
Metoda de Atacul propus afectează numai paginile care încarcă dinamic șiruri cu cod JavaScript (de exemplu, prin XMLHttpRequest sau Fetch) și apoi executați-le.
O altă limitare majoră este necesitatea de a utiliza o redirecționare sau de a plasa date arbitrare pe partea serverului de origine care furnizează resursa.
Sin embargo, ca o demonstrație a relevanței unui atac, vă arată cum să vă organizați executarea codului deschizând maps.google.com utilizând o redirecționare prin „google.com/search”.
De fapt, cererile de a utiliza XMLHttpRequest sau Fetch pentru a descărca scripturi de la distanță pentru a rula nu vor eșua atunci când este utilizată opțiunea $ rewrite.
De asemenea, redirecționarea deschisă este la fel de importantă, deoarece permite XMLHttpRequest să citească scriptul de pe un site la distanță, chiar dacă pare a fi din aceeași sursă.
Ei lucrează deja la rezolvarea problemei
Soluția este încă în pregătire. Problema afectează și blocanții AdBlock și uBlock. UBlock Origin Blocker nu este susceptibil la problemă, deoarece nu acceptă operatorul »$ rewrite».
La un moment dat, autorul uBlock Origin a refuzat să adauge suportul de rescriere $, citând posibile probleme de securitate și restricții insuficiente la nivel de gazdă (în loc de rescriere, a fost propusă opțiunea querystrip pentru a șterge parametrii de interogare în loc să-i înlocuiască).
Este responsabilitatea noastră să ne protejăm utilizatorii.
În ciuda riscului real foarte scăzut, am decis să eliminăm opțiunea $ rewrite. Prin urmare, vom lansa o versiune actualizată a Adblock Plus cât mai curând posibil din punct de vedere tehnic.
Facem acest lucru ca măsură de precauție. Nu s-a făcut nicio încercare de utilizare incorectă a opțiunii de rescriere și vom face tot posibilul pentru a preveni acest lucru.
Aceasta înseamnă că nu există nici o amenințare pentru niciun utilizator Adblock Plus.
DDezvoltatorii Adblock Plus consideră că atacurile efective sunt improbabile, întrucât toate modificările aduse listelor de reguli obișnuite sunt revizuite, iar conexiunea listelor de terți este practicată foarte rar de utilizatori.
Înlocuirea regulilor prin MITM elimină în mod implicit utilizarea HTTPS pentru a încărca liste de blocuri obișnuite (pentru listele rămase este planificat să interzică descărcarea HTTP într-o versiune viitoare).
Pentru a bloca atacurile din partea site-urilor, Directivele CSP pot fi aplicate (Politica de securitate a conținutului), prin care puteți identifica în mod explicit gazdele din care pot fi încărcate resurse externe.
Fuente: https://adblockplus.org, https://armin.dev