Te is használod ezt a reklámblokkoló bővítményt a böngésződben? Most közölték róla, súlyos veszélyt rejt a háttérben

A HackerNews érdeklődésére biztonsági szakértők, Oleg Zajcev és Sahar Gricman rámutattak, hogy a veszély forrása a közvetlen elérés, ugyanis a kód futtatásához nincs szükség a bővítmény frissítésére, áruházi jóváhagyásra, és semmilyen látható jel nem utal a változásra. A gyakorlatban ez lehetővé tenné, hogy a kiegészítő weboldalakat olvasson ki, adatokat lopjon el, vagy a felhasználó nevében járjon el a személyes fiókokban, munkahelyi alkalmazásokban és adminisztrációs felületeken.

Noha nincs bizonyíték arra, hogy ezzel a módszerrel bárki ellen kártékony támadást indítottak volna, a kockázatot rendkívül komolyan veszik. A bővítmény ugyanis kapcsolatba hozható olyan más reklámszűrőkkel, amelyeket korábban már eltávolítottak a webáruházból rosszindulatú kódok miatt, mint például az Adblock for Chrome, az Adblock for You vagy az AdBlock Suite.

Az Adblock for YouTube már 2014 óta elérhető. Kezdetben egyszerű reklámszűrőként működött, majd négy évvel később új tulajdonoshoz került. Korábbi verziói tartalmaztak egy Unistream SDK nevű reklámbeágyazó szoftverfejlesztő készletet is, amelyet végül 2024 júniusában távolítottak el. A nevében szereplő YouTube-utalás ellenére a bővítmény valójában minden meglátogatott weboldalhoz széles körű hozzáféréssel bír, ami a reklámszűrők esetében bevett gyakorlatnak számít, a távolról vezérelt kódfuttatás lehetőségével ötvözve viszont komoly aggodalomra ad okot.

A biztonsági rés egy hibás ellenőrzési folyamatból adódott, a kiegészítő ugyanis minden olyan esetben aktiválódott, amikor az URL-címben bárhol szerepelt a "youtube.com" karakterlánc, ahelyett, hogy a tényleges gazdagépnevet vizsgálta volna. Emiatt a szűrő könnyen kijátszhatóvá vált, például egy "bank.example.com/search?q=youtube.com" alakú címmel.

A kutatás közzétételével egy időben a Palo Alto Networks Unit 42 kiberbiztonsági részlege arról számolt be, hogy tizennyolc olyan, ismert márkákat utánzó böngészőbővítményt azonosított, amelyek partnerprogramos marketingen keresztül próbáltak bevételhez jutni, és a telepítést követően megtévesztő, ".shop" végződésű domainekre irányították át a gyanútlan felhasználókat.

Az AdBlock Ltd. alapítója, Mathias Rochus később közölte, hogy a bővítmény soha nem élt a kifogásolt lehetőséggel, és időközben már kiadták a javított verziót. A Chrome Web Store-ban jelenleg elérhető 7.2.3-as változatból eltávolították a jelentésben említett kódrészletet, a pontatlan karakterlánc-ellenőrzést pedig biztonságosabb, gazdagépnév-alapú vizsgálatra cserélték.

Ennek ellenére a bővítmény továbbra is tölt le távoli szabályokat és futtat kódokat az oldalak elsődleges környezetében, ezért a rendszer teljes biztonságát csak a futásidejű ellenőrzés garantálhatná.