FOOTAGE VECTOR PHOTO / Shutterstock.com
Un chercheur de sécurité a découvert une faille à l'intérieur des systèmes de filtrage qui infecterait plusieurs bloqueurs de publicités. Les développeurs d'AdBlock Plus travaillent sur une mise à jour de l'outil.
C'est le chercheur Armin Sebastian qui, sur son blog, a alerté l'opinion en publiant un billet dans lequel il a révélé, ce 15 avril, avoir découvert une faille présente dans la version 3.2 du logiciel AdBlock. Lancée en juillet 2018, cette version a introduit une nouvelle option de filtrage pour réécrire les requêtes Web, implantée ensuite par AdBlock Plus et uBlock, deux logiciels appartement à AdBlock.
Une faille exploitable sur l'ensemble des navigateurs
L'option de filtrage en question, qui concerne donc la réécriture des demandes, est conçue et utilisée pour supprimer les données de suivi et empêcher le blocage des publicités. La faille découverte peut potentiellement permettre à des hackers d'injecter à distance du code dans les pages web, leur offrant ainsi la possibilité de dérober des identifiants de connexion, procéder à des redirections de pages ou encore de manipuler des sessions.La faille pourrait avoir potentiellement de graves conséquences puisqu'elle est susceptible de toucher 100 millions d'utilisateurs actifs ayant installé l'un des bloqueurs de publicité évoqué. Le fait que l'option de filtrage soit touchée est un réel problème, puisque extrêmement importante pour un bloqueur de publicité, dont l'extension peut accéder à la liste de filtrage et ainsi empêcher le chargement du contenu inapproprié lors de la navigation.
La révélation d'Armin Sebastian paraît d'autant plus inquiétante lorsqu'il affirme que la faille peut être exploitée sur l'ensemble des navigateurs et peut se répercuter sur l'utilisation de services Google comme Gmail, Maps et Images. « La vulnérabilité ne se limite pas aux services de Google, d'autres services Web pourraient également être affectés », prévient également le chercheur. Google botte d'ailleurs en touche, en déclarant que c'est à AdBlock Plus de régler le problème.
AdBlock Plus rassure et compte publier une prochaine mise à jour
Ainsi, AdBlock Plus n'a pas manqué de répondre le jour-même, en reconnaissant dans un premier temps le problème, indiquant que « bien que l'exploitation de ce problème ne soit pas anodine et ne fonctionne que sur certains sites Web, nous le prenons très au sérieux ».Si la société précise qu'il n'y a « aucune menace existante pour les utilisateurs d'AdBlock Plus », elle évoque tout de même son devoir de responsabilité de protéger ses utilisateurs. Ainsi, elle affirme que « malgré le risque réel très faible, nous avons décidé de supprimer l'option de réécriture ».
AdBlock Plus promet de publier une mise à jour du logiciel « dès que cela sera techniquement possible », et tient une dernière fois à rassurer le public en ajoutant qu'« aucune tentative d'abus de l'option de réécriture n'a été relevée ».
