Adblock Plus-Filter-Exploit zum Ausführen von erkanntem beliebigen Code
- Kategorie: Internet
Die meisten Inhaltsblocker verwenden und laden Filterlisten, die Anweisungen zum Blockieren oder Ändern bestimmter Inhalte auf besuchten Websites im Webbrowser enthalten. Dies geschieht, um sicherzustellen, dass Standardkonfigurationen einen guten Teil unerwünschter Inhalte sofort blockieren.
Die meisten Erweiterungen unterstützen benutzerdefinierte Listen und einzelne Filter. Benutzer können in den meisten Erweiterungen benutzerdefinierte Listen laden und der Liste auch eigene Filter hinzufügen.
Aktualisieren :: Eyeo GMHB angekündigt heute, dass es die $ rewrite-Funktion in Zukunft entfernen wird. Erwarten Sie bald eine neue Version, die aus der Erweiterung entfernt wird. Ende
Sicherheitsforscher Armin Sebastian entdeckt Ein Exploit in bestimmten Adblockern wie Adblock Plus, mit dem bösartiger Code auf Websites ausgeführt werden kann, die im Browser besucht werden.
Der Exploit verwendet eine Filteroption namens $ rewrite, die Adblock Plus unterstützt, um beliebigen Code in Webseiten einzufügen. Der Filter $ rewrite wird verwendet, um Code auf Websites durch Umschreiben zu ersetzen. Die Filteroption schränkt den Betrieb ein. Es ist so konzipiert, dass Inhalte nur von der Quelle eines Erstanbieters und nicht von Websites oder Servern von Drittanbietern sowie von einigen Anforderungen, z. Skript oder Objekt sind ebenfalls nicht zulässig.
Sebastian entdeckte eine Sicherheitslücke in $ rewrite, die Angreifer ausnutzen können, um Inhalte von entfernten Standorten zu laden. Die Bedingungen, die erfüllt sein müssen, sind:
- Eine JavaScript-Zeichenfolge muss mit XMLHttpRequest oder Fetch geladen und der Rückkehrcode ausgeführt werden.
- Der Ursprung kann nicht auf der Seite eingeschränkt werden, z. Mithilfe von Richtlinien für Inhaltssicherheitsrichtlinien kann die endgültige Anforderungs-URL vor der Ausführung nicht überprüft werden.
- Der Ursprung des Codes muss eine serverseitige offene Umleitung haben oder beliebigen Benutzerinhalt hosten.
Zu den Eigenschaften, die allen drei Anforderungen entsprechen, gehören unter anderem Google Maps, Google Mail oder Google Bilder. EIN konzeptioneller Beweiß wurde auf der Website des Autors veröffentlicht und Sie können es auf Google Maps versuchen, um zu überprüfen, ob es funktioniert.
Ich habe den Exploit in Chrome und Firefox ausprobiert und konnte ihn nicht zum Laufen bringen. Lawrence Abrams drüben auf Bleeping Computer gelang es jedoch, es zum Laufen zu bringen.
Schlussworte
Der Angriff hat eine weitere Anforderung, da er auf Filtern beruht. Ein manipulierter Filter muss zur Liste der vom Inhaltsblocker verwendeten Filter hinzugefügt werden. Zu den beiden häufigsten Optionen gehört, dass Benutzer Filter manuell zu ihren Inhaltsblockern hinzufügen oder dass sich ein manipulierter Filter in einer Filterliste befindet, die geladen wird.
Die zweite Option scheint wahrscheinlicher zu sein, insbesondere in Fällen, in denen Benutzer andere Listen in die Erweiterungen laden. Es ist nicht das erste Mal, dass Listen manipuliert werden, aber es kommt nicht sehr oft vor.
Die Erweiterung uBlock Origin ist von dem Problem nicht betroffen, da sie $ rewrite nicht unterstützt.