یک پژوهش‌گر امنیتی کشف کرده است که یک آسیب‌پذیری در راه‌حل ضد ردیابی آواست به عاملان مخرب اجازه می‌دهد تا حملات مرد میانی را در ترافیک HTTPS انجام دهند. این آسیب‌پذیری امنیتی که AntiTrack آواست و AVG را تحت تأثیر قرار می‌دهد، در روشی که این نرم‌افزار ترافیک HTTPS را فیلتر می‌کند، وجود دارد.
علاوه‌برآن، با فعال بودن این ویژگی، مرورگر می‌تواند با استفاده از TLS 1.0 با موفقیت متصل شود، حتی درصورتی‌که پروتکل امنیتی قدیمی به‌طور صریح در مرورگر غیرفعال شده باشد. David Eade، طراح وب و مشاور امنیتی اعلام می‌کند که این اشکال ممکن است بدون انجام هیچ اقدام خاصی و با استفاده از AntiTrack در پیکربندی پیش‌فرض آن ایجاد شود.
Eade کشف کرد که AntiTrack پس از اضافه کردن گواهی‌نامه‌ی خود (AvastAntiTrack 2) به فروشگاه Trusted Root Certification Authorities ویندوز در هنگام نصب، ترافیک را با استفاده از گواهی‌نامه‌های خود به وب‌گاه‌های HTTPS پروکسی می‌کند.
این پژوهش‌گر بیان می‌کند که این راه‌حل برای هر وب‌گاه بازدیدشده دارای یک گواهی‌نامه‌ی مخصوص به خود است و در هنگام بازدید از وب‌گاه، یک آیکون قفل امنیتی به کاربر نشان داده می‌شود، هر چند این ترافیک برای وب سرور نهایی محافظت نمی‌شود.
به‌گفته‌ی Eade، AntiTrack آواست نمی‌تواند اعتبار گواهی‌نامه‌های وب سرور را بررسی کند و همین امر به مهاجم این امکان را می‌دهد تا با استفاده از گواهی‌نامه‌ای که توسط خود مهاجم امضا شده است، یک وب‌گاه جعلی ارائه دهد. بااین‌که این حمله نباید در شرایط عادی کار کند، اما پروکسی AntiTrack مشکل گواهی‌نامه را نادیده می‌گیرد و گواهی‌نامه‌ی خود را که مورد اعتماد مرورگر قربانی است، به او ارائه می‌دهد. این راه‌حل ضد ردیابی پروتکل امنیتی مرورگر را به TLS 1.0، downgrade می‌کند، حتی درصورتی‌که این برنامه برای استفاده از TLS 1.2 یا نسخه‌های بالاتر پیکربندی شده باشد.
علاوه‌برآن، این پژوهش‌گر کشف کرد که AntiTrack مجموعه‌های رمزنگاری‌شده‌ی مرورگر را به‌خاطر مجموعه‌های رمزنگاری‌شده‌ی قدیمی‌تر و ضعیف‌تر نادیده می‌گیرد. این مسأله که با شناسه‌ی CVE-2020-8987 ردیابی می‌شود، در ماه آگوست سال گذشته به آواست گزارش شد و با انتشار AntiTrack آواست نسخه‌ی ۱٫۵٫۱٫۱۷۲ و AntiTrack AVG نسخه‌ی ۲٫۰٫۰٫۱۷۸ در اواخر ماه فوریه و اوایل ماه مارس سال ۲۰۲۰ میلادی رفع شد.
