Sicherheitslücken in uBlock Origin erlaubten Diebstahl von Passwörtern

Sören Hentzschel

Hinweis für Nutzer von uBlock Origin, denn auch wenn die Probleme bereits behoben sind, sollten Nutzer dieser Erweiterung zumindest wissen, dass uBlock Origin bis vor kurzem anfällig für CSS-Injection-Attacken war. Wir sprechen hier von mehreren Schwachstellen, die sogar soweit gingen, dass über eine Filterliste ein Keylogger gebaut und Passwörter gestohlen werden konnten.

Die Sicherheitslücken wurden am 22. November in der Version für Firefox und am 3. Dezember in der Version für Chrome behoben. Wer noch eine ältere Version von uBlock Origin nutzt, sollte schnellstens aktualisieren.

uBlock, I exfiltrate: exploiting ad blockers with CSS

Ad blockers like uBlock Origin are extremely popular, and typically have access to every page a user visits. Behind the scenes, they're powered by…

portswigger.net

omar1979

Danke.

Ich glaube meins ist Aktuell.

Sören Hentzschel

Ja, die Version ist aktuell.

.DeJaVu

für die Info

shame on gorhill

Msfreak

Danke

.DeJaVu

Soll helfen gegen sowas. Man munkelt, uBo hätte noch weitere solcher Lücken

CSS Exfil Protection – Get this Extension for 🦊 Firefox (en-US)

Download CSS Exfil Protection for Firefox. Guard your browser against CSS Exfil attacks! CSS Exfil is a method attackers can use to steal data from web pages…

addons.mozilla.org

Zitat

2021-08-25 05:16 - Tavis reported his bug
2021-08-25 15:09 - uBlock Origin patched Tavis' bug
2021-11-03 11:51 - I reported my bypass to uBlock Origin
2021-11-03 12:52 - uBlock Origin patched my bypass on master
2021-11-04 11:01 - Reported JavaScript URL injection vulnerability
2021-11-05 20:16 - uBlock Origin patched JavaScript URL injection vulnerability
2021-11-08 13:25 - Reported bug in cosmetic filter
2021-11-08 14:19 - uBlock Origin patched my cosmetic bypass
2021-11-08 15:35 - I bypassed the patch without using comments
2021-11-08 16:18 - uBlock Origin patched the cosmetic filter bypass
2021-11-11 10:20 - Reported bug where image-set() was allowed in Firefox
2021-11-11 20:21 - uBlock Origin patched image-set() vulnerability
2021-11-22 14:30 - uBlock stable released
2021-11-22 - Firefox version updated
2021-12-03 - Chrome version updated
2021-12-06 - Post published

Alles anzeigen

Für Chromium-basierte, einige nutzen den ja auch als "Kontrolle"

CSS Exfil Protection

Guard against CSS data exfiltration attacks.

chrome.google.com

dbpdw

Hab ich mir gleich mal installiert.

Sören Hentzschel

Ich habe meine Zweifel, dass diese Erweiterung geholfen hätte. Das würde voraussetzen, dass diese Erweiterung generell erst wirkt, nachdem uBlock Origin seine Arbeit verrichtet hat. Die Reihenfolge der Wirkung ist für den Nutzer aber nicht kontrollierbar. Zielgruppe dieser Erweiterung sind eher Websites als andere Add-ons. Tatsächlich ist das einzige garantiert wirksame Mittel gegen Sicherheitslücken, die Sicherheitslücken zu schließen.

Zitat von .DeJaVu

Man munkelt, uBo hätte noch weitere solcher Lücken

Munkelt das auch ein seriöser Sicherheitsforscher oder ist das reddit-Gerede? Dann wäre ein Link schön. Von Andeutungen dieser Art bin ich nämlich überhaupt kein Freund, beim Thema Sicherheit bleibe ich lieber bei Fakten.

.DeJaVu

Deswegen "munkelt" man auch ;). Wo eine Sicherheitslücke ist, könn(t)en ja auch weitere sein.

Diese andere Erweiterung muss ich noch in einem Testprofil anschauen, das Teil kann vermutlich noch mehr (rules.js)

Was die Reihenfolge der Eingriffe angeht, irgendwann mal was dazu gelesen, ich meine, uBo sitzt mit ganz vorn, ist jetzt aber nur ganz schwach hier gemerkt, weil ich nur eine so eine Erweiterung nutze, die so tief in Webseiten eingreift. Alle andere kommen erst danach.

Sören Hentzschel

Zitat von .DeJaVu

Wo eine Sicherheitslücke ist, könn(t)en ja auch weitere sein.

Klar, und der Himmel ist blau. Da steckt keine Aussage dahinter. Wenn man (weitere) Sicherheitslücken andeutet, muss man zumindest den Verdacht zwangsläufig belegen können, ansonsten geht so etwas gar nicht, weil damit dem Entwickler auch etwas unterstellt wird, was wahrscheinlich gar nicht zutrifft.

Zitat von .DeJaVu

Was die Reihenfolge der Eingriffe angeht, irgendwann mal was dazu gelesen, ich meine, uBo sitzt mit ganz vorn, ist jetzt aber nur ganz schwach hier gemerkt, weil ich nur eine so eine Erweiterung nutze, die so tief in Webseiten eingreift. Alle andere kommen erst danach.

Da hast du dir etwas Falsches gemerkt. Weder Firefox noch Chrome sind so programmiert, dass konkret uBlock Origin garantiert vor allen anderen Erweiterungen ausgeführt wird.

geminus

Danke für die Info! Sehr gut finde ich, wie schnell Raymond Hill die gemeldeten Lücken geschlossen hat.

Sören Hentzschel

Schnell geschlossen hat er die Sicherheitslücken tatsächlich, sogar extrem schnell, alles noch am jeweils gleichen Tag wie die Meldung erfolgt ist. Aber bis tatsächlich ein Update veröffentlicht worden ist, welches die ganzen Sicherheitslücken behebt, hat es mehrere Monate gedauert und das ist deutlich zu lang. Es wäre schon gut gewesen, wenn in der Zwischenzeit noch das eine oder andere Update erschienen wäre, welches zumindest die bis dahin bereits bekannten und ja auch schon behobenen Sicherheitslücken schließt. Es wurden ja schließlich verschiedene Sicherheitslücken zu verschiedenen Zeitpunkten gemeldet, nicht alle erst vor ein paar Tagen.

geminus

Zitat von Sören Hentzschel

Aber bis tatsächlich ein Update veröffentlicht worden ist, welches die ganzen Sicherheitslücken behebt, hat es mehrere Monate gedauert und das ist deutlich zu lang.

Ja, das ist leider richtig, war mir gar nicht richtig bewusst. Wer nicht die Test-Versionen von GitHub verwendet, war tatsächlich gefährdet. Bei solchen Lücken hätte es unbedingt so bald wie möglich Updates der AMO-Version geben müssen.

Weißt Du, ob der lange Zeitraum zwischen Bekanntwerden/Behebung und der offiziellen Freigabe auf AMO für den Entwickler problematisch sein könnte? Oder reicht es, dass die Anwender die Möglichkeit gehabt hätten, eine Entwicklungsversion mit den Fehlerbehebungen zu verwenden?

Speravir

Zitat von Sören Hentzschel

Aber bis tatsächlich ein Update veröffentlicht worden ist, welches die ganzen Sicherheitslücken behebt, hat es mehrere Monate gedauert

Krümelk… Es war höchstens rund ein Monat, was aber an Deiner Schlussfolgerung:

Zitat von Sören Hentzschel

das ist deutlich zu lang

nichts ändert.

Konkret: Entsprechend der Disclosure in Gareth Hayes’ Text wurde der erste Bug am 25.08. gemeldet und gefixt. uBO, Version 1.38.0., erschien dann für Firefox am 30.9. mit Hinweis auf den Bug samt Schlüsselwort security. Dann folgte die Serie der Bugmeldungen vom 3. bis 11.11. mit dem Update vom 22.11. in Firefox. Über das Chrome-Addon weiß ich nichts. Ich bin mir unsicher, aber bilde mir ein, mal von irgendeinem Entwickler eine Beschwerde gelesen zu haben, dass die Updates dort länger dauern (die nicht von Raymond Hill betreute Edge-Version erschien ja sogar vor derjenigen für Chrome).

mumpel

Zitat von Sören Hentzschel

gestohlen werden konnten.

Gibt es Erkenntnisse wie oft das tatsächlich geschehen ist? "Können" ist ja auch so ein Wort.

Sören Hentzschel

Kein Angreifer sagt nach Ausnutzung einer Sicherheitslücke: Ich war hier. Also nein, dazu gibt es natürlich keine Statistik.