يعمل تحديث Tor 0.3.5.10 و 0.4.1.9 و 0.4.2.7 على إصلاح ثغرة DoS

قدم الإصدارات التصحيحية لمجموعة أدوات Tor (0.3.5.10، 0.4.1.9، 0.4.2.7، 0.4.3.3-alpha)، المستخدمة لتنظيم عمل شبكة Tor المجهولة. تعمل الإصدارات الجديدة على إصلاح ثغرتين أمنيتين:

• CVE-2020-10592 - يمكن استخدامها من قبل أي مهاجم لبدء رفض خدمة المرحلات. يمكن أيضًا تنفيذ الهجوم بواسطة خوادم دليل Tor لمهاجمة العملاء والخدمات المخفية. يمكن للمهاجم إنشاء ظروف تؤدي إلى زيادة التحميل على وحدة المعالجة المركزية، مما يؤدي إلى تعطيل التشغيل العادي لعدة ثوانٍ أو دقائق (من خلال تكرار الهجوم، يمكن تمديد DoS لفترة طويلة). تظهر المشكلة منذ الإصدار 0.2.1.5-alpha.
• CVE-2020-10593 - تسرب للذاكرة يبدأ عن بعد ويحدث عندما تتم مطابقة حشوة الدائرة بشكل مزدوج لنفس السلسلة.

ويمكن الإشارة أيضًا إلى أنه في متصفح تور 9.0.6 لا تزال الثغرة الأمنية في الوظيفة الإضافية غير ثابتة نوسكريبت، والذي يسمح لك بتشغيل كود JavaScript في وضع الحماية الأكثر أمانًا. بالنسبة لأولئك الذين يعتبر حظر تنفيذ JavaScript أمرًا مهمًا بالنسبة لهم، يوصى بتعطيل استخدام JavaScript في المتصفح مؤقتًا في about:config عن طريق تغيير المعلمة javascript.enabled في about:config.

لقد حاولوا إزالة الخلل الموجود في نوسكربت 11.0.17، ولكن كما تبين، فإن الإصلاح المقترح لا يحل المشكلة تمامًا. اذا حكمنا من خلال التغييرات في الإصدار القادم نوسكربت 11.0.18، ولم يتم حل المشكلة أيضًا. يتضمن متصفح Tor تحديثات NoScript تلقائية، لذلك بمجرد توفر الإصلاح، سيتم تسليمه تلقائيًا.

المصدر: opennet.ru