Categories: Sécurité

Adblockers : échange publicité contre failles de sécurité

Installer un bloqueur de pub, c’est une chance supplémentaire de s’exposer à des attaques informatiques.

Une alerte d’un chercheur indépendant le rappelle.

La faille qu’il a découverte se trouve au niveau des « filtres », ces listes de règles sur lesquelles se basent les adblockers (l’une des plus connues étant l’EasyList).

Elle concerne plus précisément la fonction $rewrite, introduite à l’été 2018 dans les principaux logiciels du marché, à commencer par Adblock Plus, Adblock et uBlock.

Cette fonction permet de ne pas simplement bloquer des éléments, mais de les remplacer par d’autres.

Pour éviter un usage malveillant, plusieurs garde-fous ont été mis en place.

D’une part, la ressource de remplacement doit se trouver sur le même domaine que celle d’origine. De l’autre, $rewrite ne fonctionne en théorie pas avec les requêtes de type script ou object.

Simple comme Google ?

Malgré ces protections, il est possible, pour les gestionnaires des filtres, de créer des règles capables d’injecter des scripts distants*.

Sont vulnérables les sites et services web qui :

– permettent de charger des scripts depuis tout domaine ;
– utilisent pour cela XMLHttpRequest ou Fetch ;
– ne contrôlent pas l’URL cible avant exécution du script.

Le chercheur a mené son expérimentation avec Google Maps. Pour charger son script, il est passé par l’URL indexée dans le moteur de recherche Google (donc sur le même domaine).

Aux éditeurs des sites et services concernés (Gmail et Google Photos en font partie), il recommande d’utiliser l’en-tête de réponse HTTP Content-Security-Policy, afin de contrôler les ressources chargeables.

Les bloqueurs de pub touchés fédèrent – sans compter leurs variantes – plus de 100 millions d’utilisateurs actifs.

Eyeo, qui développe Adblock Plus, a pris la décision de retirer, dans une prochaine mise à jour, la prise en charge de l’option $rewrite.

* On a déjà constaté des cas de détournement de filtres, par exemple en Finlande, pour bloquer les sites de syndicats.

Photo d’illustration © dKART – Shutterstock.com

Recent Posts

PC Copilot+ : avec Arm ou x86 ?

Trop tôt pour envisager d'acquérir un PC Copilot+ ? Les roadmaps d'Intel et d'AMD peuvent…

2 semaines ago

Copilot+ : une sélection de PC convertibles

Dévoilés lors du CES 2025, les PC Copilot+ au format convertible restent encore limitée dans…

4 semaines ago

Avec Gemini intégré à Google Workspace, les prix s’envolent

Les fonctionnalités de Gemini sont intégrées dans la suite bureautique Google Workspace. Conséquence : les…

4 semaines ago

PC Copilot+ : c’est parti pour la transformation du parc

Au CES 2025, les principaux constructeurs ont annoncé l'arrivée des ordinateurs de bureau dotés de…

1 mois ago

PC Copilot+ : une porte d’entrée vers l’ IA locale ?

Equipés de NPU, les PC Copilot+ peuvent déployer des LLM en local. Un argument suffisant…

2 mois ago

PCIe 5.0 : La révolution des cartes-mères est-elle en marche ?

Que vous soyez un novice dans le domaine informatique, ou avec un profil plus expérimenté,…

3 mois ago