geçenlerde keşfedildi ki popüler reklam engelleyici «Adblock Plus », JavaScript kodunun yürütülmesini organize etmeye izin veren bir güvenlik açığına sahiptir sitelerde, üçüncü şahıslar tarafından hazırlanan test edilmemiş filtrelerin kullanılması durumunda kötü niyetle (örneğin, üçüncü taraf kural kümelerini bağlayarak veya MITM saldırısı sırasında kural değiştirme yoluyla).
Yazarları filtre kümeleriyle listeleyin kendi kodlarının çalıştırılmasını, erişilebilen siteler bağlamında düzenleyebilirler. kullanıcı »$ rewrite« operatörüyle kural ekleyerek URL'nin bir kısmını değiştirebilir.
Bu kod yürütme nasıl mümkün olabilir?
İlan etmek $ rewrite, ana bilgisayarın değiştirilmesine izin vermiyor url'de ancak argümanları serbestçe değiştirme fırsatı sağlar talebin.
Ancak kod yürütme sağlanabilir. Google Haritalar, Gmail ve Google Görseller gibi bazı siteler, düz metin biçiminde iletilen çalıştırılabilir JavaScript bloklarını dinamik olarak yükleme tekniğini kullanırlar.
Sunucu, isteklerin yeniden yönlendirilmesine izin veriyorsa, URL'nin parametrelerini değiştirerek başka bir ana bilgisayara yönlendirilebilir (örneğin, Google bağlamında, »google.com/search« API aracılığıyla bir yönlendirme yapılabilir) .
Artı yönlendirmeye izin veren ana bilgisayarlar, ayrıca bir saldırı da gerçekleştirebilirsiniz kullanıcı içeriğinin konumlandırılmasına izin veren hizmetlere karşı (kod barındırma, makale yerleştirme platformu vb.).
Yöntemi Önerilen saldırı yalnızca JavaScript koduyla dizeleri dinamik olarak yükleyen sayfaları etkiler (örneğin, XMLHttpRequest veya Fetch aracılığıyla) ve ardından bunları çalıştırın.
Diğer bir önemli sınırlama, kaynak sağlayan kaynak sunucunun tarafına bir yeniden yönlendirme kullanma veya rastgele veriler yerleştirme ihtiyacıdır.
Sin ambargo, bir saldırının alaka düzeyinin bir göstergesi olarak, "google.com/search" üzerinden bir yönlendirme kullanarak maps.google.com'u açarak kod yürütmenizi nasıl organize edeceğinizi gösterir.
Aslında, çalıştırmak için uzak komut dosyalarını indirmek için XMLHttpRequest veya Fetch kullanma istekleri, $ yeniden yazma seçeneği kullanıldığında başarısız olmayacaktır.
Ayrıca, açık yeniden yönlendirme, XMLHttpRequest'in komut dosyasını aynı kaynaktan geliyor gibi görünse bile uzak bir siteden okumasına izin verdiği için önemlidir.
Zaten sorunu çözmek için çalışıyorlar
Çözüm hala hazırlık aşamasındadır. Sorun ayrıca AdBlock ve uBlock engelleyicileri de etkiler. UBlock Origin Blocker, »$ yeniden yazma» operatörünü desteklemediği için soruna duyarlı değildir.
Bir noktada, uBlock Origin yazarı, olası güvenlik sorunlarını ve yetersiz ana bilgisayar düzeyinde kısıtlamaları gerekçe göstererek $ yeniden yazma desteği eklemeyi reddetti (yeniden yazma yerine, sorgu parametrelerini değiştirmek yerine temizlemek için querystrip seçeneği önerildi).
Kullanıcılarımızı korumak bizim sorumluluğumuzdur.
Çok düşük gerçek riske rağmen, $ yeniden yazma seçeneğini kaldırmaya karar verdik. Bu nedenle, teknik olarak mümkün olan en kısa sürede Adblock Plus'ın güncellenmiş bir sürümünü yayınlayacağız.
Bunu bir önlem olarak yapıyoruz. Yeniden yazma seçeneğini kötüye kullanmak için hiçbir girişimde bulunulmadı ve bunun olmasını önlemek için elimizden geleni yapacağız.
Bu, herhangi bir Adblock Plus kullanıcısı için herhangi bir tehdit olmadığı anlamına gelir.
DAdblock Plus geliştiricileri gerçek saldırıların olası olmadığını düşünüyor, çünkü normal kural listelerindeki tüm değişiklikler gözden geçirildiğinden ve üçüncü taraf listelerinin bağlantısı kullanıcılar tarafından çok nadiren uygulandığından.
MITM aracılığıyla kural ikamesi, varsayılan olarak HTTPS kullanımını kaldırır düzenli blok listelerini yüklemek için (kalan listeler için, gelecekteki bir sürümde HTTP indirmesinin yasaklanması planlanmaktadır).
Sitelerin yan tarafındaki saldırıları engellemek için, CSP direktifleri uygulanabilir Dış kaynakların yüklenebileceği ana bilgisayarları açıkça tanımlayabileceğiniz (İçerik Güvenliği Politikası).
kaynak: https://adblockplus.org, https://armin.dev