Adblockers : échange publicité contre failles de sécurité

Installer un bloqueur de pub, c’est une chance supplémentaire de s’exposer à des attaques informatiques.

Une alerte d’un chercheur indépendant le rappelle.

La faille qu’il a découverte se trouve au niveau des « filtres », ces listes de règles sur lesquelles se basent les adblockers (l’une des plus connues étant l’EasyList).

Elle concerne plus précisément la fonction $rewrite, introduite à l’été 2018 dans les principaux logiciels du marché, à commencer par Adblock Plus, Adblock et uBlock.

Cette fonction permet de ne pas simplement bloquer des éléments, mais de les remplacer par d’autres.

Pour éviter un usage malveillant, plusieurs garde-fous ont été mis en place.

D’une part, la ressource de remplacement doit se trouver sur le même domaine que celle d’origine. De l’autre, $rewrite ne fonctionne en théorie pas avec les requêtes de type script ou object.

Simple comme Google ?

Malgré ces protections, il est possible, pour les gestionnaires des filtres, de créer des règles capables d’injecter des scripts distants*.

Sont vulnérables les sites et services web qui :

– permettent de charger des scripts depuis tout domaine ;
– utilisent pour cela XMLHttpRequest ou Fetch ;
– ne contrôlent pas l’URL cible avant exécution du script.

Le chercheur a mené son expérimentation avec Google Maps. Pour charger son script, il est passé par l’URL indexée dans le moteur de recherche Google (donc sur le même domaine).

Aux éditeurs des sites et services concernés (Gmail et Google Photos en font partie), il recommande d’utiliser l’en-tête de réponse HTTP Content-Security-Policy, afin de contrôler les ressources chargeables.

Les bloqueurs de pub touchés fédèrent – sans compter leurs variantes – plus de 100 millions d’utilisateurs actifs.

Eyeo, qui développe Adblock Plus, a pris la décision de retirer, dans une prochaine mise à jour, la prise en charge de l’option $rewrite.

* On a déjà constaté des cas de détournement de filtres, par exemple en Finlande, pour bloquer les sites de syndicats.

Photo d’illustration © dKART – Shutterstock.com