Die Sicherheitsfirma Island hat in der Chrome-Erweiterung „Adblock for YouTube“ einen Mechanismus gefunden, über den sich beliebiger JavaScript-Code auf praktisch jeder Webseite ausführen lässt. Die Erweiterung zählt mit mehr als zehn Millionen Installationen und einem Featured-Badge im Chrome Web Store zu den populärsten Werbeblockern überhaupt.

Was ist passiert?

Adblock for YouTube ruft alle 24 Stunden eine Konfiguration vom eigenen Server ab. Neben den üblichen Filterregeln enthält die Antwort ein Feld namens scriptletsRules. Darüber legt der Server fest, welche der in der Erweiterung eingebauten Scriptlets, kleine JavaScript-Funktionen zur Werbeunterdrückung, auf welcher Seite mit welchen Argumenten ausgeführt werden.

Eines dieser Scriptlets heißt trusted-create-element und stammt aus der offenen Scriptlet-Bibliothek von AdGuard, die auch andere Werbeblocker mitliefern. Liefert der Server als Elementtyp script und den Inhalt als JavaScript, erzeugt das Scriptlet ein <script>-Tag und hängt es an die geöffnete Seite an. Der Code läuft dann im selben Kontext wie die Seite selbst und hat damit Zugriff auf das DOM, Formulare, Sitzungsdaten und Nutzerinteraktionen. Island betont ausdrücklich, dass bislang kein Beweis dafür vorliegt, dass tatsächlich Schadcode an Nutzer ausgeliefert wurde. Die Forscher sprechen von einer ruhenden, nicht von einer fehlenden Fähigkeit, die sich ohne Erweiterungs-Update und ohne erneute Store-Prüfung allein über eine serverseitige Konfigurationsänderung aktivieren ließe.

Wer ist betroffen?

Betroffen sind alle Chrome-Nutzer mit der Erweiterung „Adblock for YouTube“ (Chrome-Web-Store-ID cmedhionkhpnakcndndgjdbohmhepckk). Die Erweiterung trägt sich im Manifest mit host_permissions auf <all_urls> ein und ist dadurch auf jeder besuchten Webseite aktiv, nicht nur auf YouTube. Die eingebaute Prüfung, ob eine Seite tatsächlich zu YouTube gehört, prüft lediglich, ob die Zeichenkette youtube.com irgendwo in der URL vorkommt. Eine Adresse wie bank.example.com/suche?q=youtube.com erfüllt diese Bedingung bereits. In einem Proof of Concept hat Island genau das demonstriert: Eine Salesforce-Seite mit youtube.com im Query-String wurde als YouTube erkannt und das Scriptlet darauf ausgeführt.

Adblock for YouTube ist seit 2014 im Chrome Web Store und wechselte 2018 den Besitzer. Drei verwandte Erweiterungen aus demselben Umfeld, Adblock for Chrome, Adblock for You und AdBlock Suite, wurden bereits wegen Malware aus dem Chrome Web Store entfernt.

Was bedeutet das?

Da die Erweiterung auf allen Webseiten aktiv ist, reicht eine einzige serverseitige Änderung des Anbieters, um Zugriff auf Bank-Sitzungen, Firmen-Mailkonten, SaaS-Anwendungen oder Admin-Oberflächen zu erhalten, ohne dass Nutzer etwas davon bemerken. Für Privatpersonen bedeutet das ein Risiko für Online-Banking- und E-Mail-Konten. Für Unternehmen, in denen die Erweiterung auf Mitarbeitergeräten installiert ist, betrifft das potenziell auch interne Tools und Kundendaten. AdBlock-Ltd-Gründer Mathias Rochus weist die Darstellung einer Hintertür zurück und kündigte ein Update an, das den ungenutzten Scriptlet-Teil entfernt und die Seitenerkennung künftig auf den tatsächlichen youtube.com-Hostnamen prüft statt auf eine Zeichenkette irgendwo in der URL. Das Update muss noch den Review-Prozess des Chrome Web Store durchlaufen.