В некоторых популярных блокировщиках рекламы существует серьезная уязвимость, которая позволяет совершать все виды преступлений.
По словам Армина Себастьяна, уязвимость присутствует в Adblock, Adblock Plus и uBlock и относится к новой опции фильтрации, представленной в Adblock Plus версии 3.2 в июле 2018 года, которая позже была принята другими расширениями для блокировки рекламы (также uBlock). от Adblock, если вам интересно, и не имеет отношения к uBlock Origin).
Рассматриваемая новая опция фильтра предназначена для перезаписи запросов. В основном он используется для удаления данных отслеживания и обхода блокировки рекламы. Однако Себастьян отмечает, что: «При определенных условиях опция фильтра $rewrite позволяет тем, кто находится в списке фильтров, вставлять произвольный код в веб-страницы».
Что весьма тревожно, так это то, что эта функция описана как «тривиальная» для использования и может иметь значительные последствия, поскольку упомянутые блокировщики рекламы имеют более 100 миллионов активных пользователей.
Кто-то, кто управляет этой дырой в системе фильтрации, может участвовать во всех видах вредоносных действий, таких как кража ваших учетных данных для входа в Интернет.
Исследователь безопасности также отметил, что уязвимость может быть использована во всех основных браузерах и веб-сервисах, соответствующих определенным критериям, подробно описанным в его блоге. Сюда входят такие службы Google, как Gmail, Карты и Google Картинки.
Себастьян сказал: «Обратите внимание, что уязвимость не ограничивается сервисами Google, могут быть затронуты и другие веб-сервисы».
Он связался с Google по поводу уязвимости, но компания сказала ему, что эта уязвимость является «желательным поведением» в отношении ее сервисов. Другими словами, это проблема, которую производители блокировщиков рекламы должны решить и ничего не делать с Google.
Себастьян считает, что это неудачный вывод, отмечая, что проблема заключается не только в недостатках браузерных расширений, блокирующих рекламу, но и в уязвимостях веб-сервисов, которые все связаны с возможностью эксплуатации.
Нетривиальный поиск
Adblock Plus, со своей стороны, признал проблему, хотя компания раскрывает этот эксплойт в самых разных терминах, описывая его как «нетривиальный» для эксплойта, вопреки мнению исследователя безопасности, и отмечая, что это не так. . Это будет работать только для некоторых сайтов.
Однако Adblock Plus признает, что проблема серьезна и что «несмотря на очень низкий реальный риск, мы решили удалить опцию перезаписи и поэтому выпустим обновленную версию Adblock Plus, как только это станет технически возможным».
Компания добавляет: «Мы делаем это в качестве меры предосторожности. Никаких попыток злоупотребления возможностью перезаписи не предпринималось, и мы сделаем все возможное, чтобы этого не произошло».
Хотя риск может быть (а может и не быть) низким, как утверждает Adblock Plus, ставки, возможно, были немного выше теперь, когда об эксплойте стало общеизвестно.
Итак, что вы можете делать, пока не выйдет новая обновленная версия Adblock Plus (и, возможно, других блокировщиков рекламы, затронутых этой ошибкой)?
Себастьян рекомендует пользователям рассмотреть возможность обновления до uBlock Origin, в котором нет опции фильтра $rewrite, так что это ясно, по крайней мере, до тех пор, пока проблема не будет решена с помощью расширений для блокировки рекламы. .
Через ZDNet