Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Feb 01, 2024 Marina Londei Approfondimenti, In evidenza, News, Vulnerabilità, Vulnerabilità 0
Radically Open Security, compagnia di consulenza di sicurezza, ha eseguito un penetration test per Tor Project scoprendo 17 vulnerabilità nelle diverse componenti, di cui una ad alto rischio.
I ricercatori hanno analizzato i client del progetto (Android, Tor Browser), gli exit relay (Tor core), i servizi esposti (server di metriche, SWBS, Onionoo API), i componenti infrastrutturali per il monitoraggio e l’alerting e i tool per il testing e il profiling.
Il bug più grave colpisce l’Onion Bandwith Scanner (onbasca), il componente che si occupa di monitorare lo stato della rete e dei relay per distribuire il carico tra i nodi e individuare eventuali attacchi. La vulnerabilità è una Cross-Site Request Forgery (CSRF) per le richieste GET che consente a un attaccante pre-autenticato di iniettare bridge nel database, ovvero relay aggiuntivi.
Gli attaccanti possono portare le vittime a visitare il proprio sito ed eseguire un attacco CSRF non appena il browser della vittima esegue nella stessa rete di onbasca, iniettando poi i bridge. A questo punto è sufficiente aspettare l’esecuzione del comando bridgescan, invocato regolarmente per il monitoraggio dei nodi, e onbasca si collega al bridge controllato dall’attaccante, permettendogli di sferrare altri attacchi.
Credits: Pixabay
Radically Open Security sottolinea che tra i componenti più critici ci sono il Tor Client, il quale soffre di due vulnerabilità che consentono attacchi di denial of service, e il browser Tor per Android.
Dall’analisi sono emerse anche le aree più critiche sulle quali Tor Project dovrebbe investire per risolvere i problemi di sicurezza; tra queste ci sono la gestione e l’aggiornamento di librerie obsolete, la mancanza di standard moderni per la sicurezza web e una validazione incompleta degli input.
“Vogliamo sottolineare che la sicurezza è un processo: questo penetration test è solo un’istantanea. La sicurezza deve essere valutata e migliorata continuamente. I controlli periodici e i miglioramenti continui sono essenziali per mantenere il controllo della sicurezza delle informazioni aziendali” si legge nel report.
Lug 25, 2024 0
Lug 25, 2024 0
Lug 18, 2024 0
Lug 17, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 24, 2024 0
Lug 24, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...