uMatrixには未修正の脆弱性があります:これが回避策です

RaymondHillのuBlockOriginおよびuMatrixブラウザー拡張機能は、人気のあるコンテンツブロッカーです。 uBlock OriginはHillによって積極的に保守されていますが、uMatrixの開発は2020年に終了しました。 PaleMoonブラウザ用に設計されたフォークnMatrixは引き続き維持されます。

uMatrixブラウザ拡張機能はまだ使用されています。まだリストされているGoogleのChromeウェブストアは、10万人以上のユーザーがいることを明らかにしています。これは、Googleがユーザーの総数を一般に公開していないため、これよりも高くなる可能性があります。 Firefox拡張機能 2017年にガイドを書いた、執筆時点で29,000人以上のユーザーがいます。

umatrixインターフェース

セキュリティ研究者 発見した 3つの拡張機能すべてに脆弱性があります。この脆弱性は、拡張機能の厳密なブロック機能で使用されるコードを悪用します。厳密なブロッキングは、フィルターに一致するリソースへのすべての接続を防ぎます。拡張機能のデフォルトのインストールでは、厳密なブロッキングフィルターを含むフィルターリストが使用されます。

研究者によると、攻撃者はこの脆弱性を悪用して拡張機能をクラッシュさせたり、メモリを使い果たしたりする可能性があります。拡張機能がクラッシュすると、ユーザーは再ロードされるまで保護されません。

ユーザーがアクティブになる必要があります。リンクをクリックして。

厳密なブロックの警告ページは、直接ナビゲーションがブロックされている場合にのみ表示されます。これは、悪意のあるホストが、リンクをクリックするなど、何らかの方法でナビゲーションをトリガーするようにユーザーを誘導する必要があることを意味します。 iframeはサブドキュメントとして分類され、警告ページをトリガーしません。これにより、悪意のあるホストがこの脆弱性をバックグラウンドで悪用することが困難になります。

研究者は、Chrome、Firefox、PaleMoonに対する概念実証の脆弱性をテストしました。テスト中にChrome拡張機能のみがクラッシュしました。

レイモンドヒルは、セキュリティの問題が一般に公開される前に通知されました。 修正 1日以内にuBlockOrigin用に作成され、次の日に公開されました。 nMatrixのメンテナは、拡張機能の問題も修正したPaleMoonアドオンサイトのアップデートを公開しました。

uMatrix拡張機能はもう維持されていません。つまり、脆弱性が残っており、今後も脆弱性が維持されます。

脆弱性を軽減する方法

研究者は、ユーザーがuMatrixダッシュボードの「アセット」タブですべてのフィルターリストを無効にする必要があることに注意しています。マルウェアまたは多目的フィルターリストをサブスクライブすると、変更が拡張機能のブロックに与える影響を減らすことができます。

今のところ脆弱性を軽減するために、ユーザーはuMatrixダッシュボードの[アセット]タブですべてのフィルターリストの選択を解除することにより、uMatrixの厳密なブロックのサポートを無効にすることができます。また、uBlock Originの「マルウェアドメイン」および「多目的」フィルターリストをすべて有効にして、失われたフィルタリングカバレッジを相殺することもできます。

閉会の言葉

開発がしばらく前に終了したため、特に現在パッチが適用されていない脆弱性があるため、コンテンツブロッキングのために別の拡張機能に移行する時期が来ている可能性があります。大規模な攻撃で悪用される可能性は低いと思われますが、それでもユーザーは注意する必要があります。

では、あなた :まだuMatrixを使用していますか? (ありがとうマーカス[メール経由])