Zerodium recentemente riportato la scoperta di un nuovo zero-day exploit browser Tor. Lo stesso exploit fornitore all'inizio di quest'anno ha offerto $1 milioni per la presentazione delle quali un exploit per il browser Tor. La nuova Tor zero-day potrebbe rivelare l'identità del visitati dall'utente siti web.
Zerodium rivela Tor Browser Zero-Day in un Tweet
Тhe sfruttare fornitore riportato la falla e ha dato istruzioni su come può essere riprodotto in un Tweet pubblicato il Lunedi. Sembra che il Tor Browser recentemente rilasciato 8 non è influenzato dalla zero-day:
Consultivo: Tor Browser 7.x ha un grave vuln / bugdoor che porta alla completa esclusione di Tor / NoScript ‘più sicuro’ livello di sicurezza (dovrebbe bloccare tutto JS). PoC: Impostare il Content-Type della pagina html / js a “text / html;/JSON” e godere di piena Pwnage JS. Appena rilasciata 8.x Tor non è interessato.
Come visibile dalla Tweet, l'exploit è di circa una vulnerabilità nel browser di Tor ma in realtà ha un impatto NoScript. NoScript è un'estensione per Firefox noto che custodisce gli utenti da script dannosi, permettendo JavaScript, Giava, e plugin Flash per essere eseguiti solo su siti web di fiducia. Va notato che il Tor Browser è basato sul codice di Firefox, quindi comprende NoScript di default.
Zerodium dice che le versioni NoScript 5.0.4 a 5.1.8.6 può essere bypassa per eseguire qualsiasi file JS, alterandone l'intestazione del tipo di contenuto in formato JSON. Questo può accadere anche quando il livello di sicurezza “più sicuro” è abilitato. Ciò significa che un sito web può trarre vantaggio da questo zero-day per eseguire JavaScript dannoso sul Tor Browser e per ottenere l'indirizzo IP reale della vittima.
Per fortuna, l'ultima versione di Tor non è interessato da questa vulnerabilità, semplicemente perché il plugin NoScript per la versione Quantum di Firefox si basa su un diverso formato API. Tuttavia, gli utenti che eseguono Tor 7.x sono invitati ad aggiornare il browser il più presto possibile alla versione più recente per evitare ogni compromesso.
Infine, NoScript è stato notificato in merito alla questione e ha risolto il difetto con il rilascio di NoScript versione “Classic” 5.1.8.7.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: