Een beveiligingslek in Avast AntiTrack, een tool die gebruikers tegen online tracking moet beschermen, bevatte een kwetsbaarheid waardoor het mogelijk was om man-in-the-middle-aanvallen tegen gebruikers uit te voeren. Het antivirusbedrijf heeft inmiddels een update uitgebracht die het probleem verhelpt.

Om trackers en gerichte advertenties te blokkeren inspecteert en filtert AntiTrack het verkeer. Het doet dit door een certificaat aan de Windows Certificate Store toe te voegen. Vervolgens fungeert AntiTrack als een proxy die het https-verkeer van de gebruiker onderschept en doorstuurt naar de website in kwestie. De privacytool bleek echter drie kwetsbaarheden te bevatten waardoor een aanvaller tussen de gebruiker en het internet versleuteld https verkeer had kunnen onderscheppen.

AntiTrack bleek de geldigheid van certificaten van websites niet te valideren. "Dit maakt het eenvoudig voor een man-in-the-middle om met een zelf gesigneerd certificaat een nepsite aan te bieden", stelt onderzoeker David Eade die de problemen ontdekte en aan Avast rapporteerde. Het tweede probleem zorgde ervoor dat het encryptieprotocol naar TLS 1.0 werd gedowngrade, wat als een onveilig protocol wordt beschouwd. Het is mogelijk om de browser in te stellen dat die alleen TLS 1.2 of nieuwer gebruikt, maar AntiTrack negeerde deze instelling.

Als laatste bleek AntiTrack de cipher suites van de browser niet te volgen en geen Forward Secrecy te ondersteunen. In plaats daarvan werden er oudere, zwakkere cipher suites gebruikt. Eade waarschuwde Avast vorig jaar augustus, waarna het probleem op 28 februari werd verholpen. Details over de kwetsbaarheid zijn zowel via het blog van de onderzoeker als de website van Avast gedeeld.