Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Grave vulnerabilità Firefox, ma domani arriva l’aggiornamento

Set 19, 2016 Marco Schiaffino News, Vulnerabilità 0

Basta un certificato valido per l’aggiornamento di un qualsiasi plugin per avviare l’esecuzione di codice in remoto. La falla scoperta dal Tor Project verrà corretta a tempo di record.

Firefox è vulnerabile a una tecnica di attacco che permette di “impersonare” i server di Mozilla. L’annuncio è arrivato venerdì scorso a opera degli sviluppatori di Tor, il circuito per la navigazione anonima che usa una versione “modificata” di Firefox come client.

L’avviso pubblicato sul sito del Tor Project spiega anche a grandi linee come potrebbe essere sfruttata la vulnerabilità. Il problema si annida nel sistema di gestione degli aggiornamenti usato per le estensioni del browser.

Utilizzando un certificato valido, è possibile portare un attacco “Man in the Middle” per ingannare il browser e indurlo a installare una versione modificata di un’estensione presente sul browser.

Certo, l’attacco ha due elementi di difficoltà: il primo legato alla necessità di procurarsi un certificato digitale valido e il secondo al fatto di sapere quali estensioni sono installate sul browser della potenziale vittima.

Non a caso, l’allarme è partito da Tor Project. La versione di Firefox inclusa nel pacchetto Tor, infatti, ha due estensioni preinstallate: HTTPS Everywhere e NoScript. Chi volesse attaccare un utente Tor, quindi, saprebbe esattamente dove puntare.

Per fortuna il Tor Browser avvisa immediatamente se la versione non è la più aggiornata…

Considerato che Tor viene usato da un gran numero di attivisti, dissidenti e giornalisti per aggirare gli strumenti di controllo e di censura da parte di stati e governi autoritari, inoltre, rende più credibile lo scenario.

Servizi segreti e polizia sono esattamente il tipo di soggetti che potrebbero più facilmente mettere le mani su un certificato digitale che permetterebbe di sfruttare la falla di sicurezza.

In ogni caso, la versione più recente del Tor Browser integra già la correzione che risolve il problema. Mozilla, invece, ha pianificato un aggiornamento del browser per domani.

Condividi l'articolo