Актуализацията на Tor 0.3.5.10, 0.4.1.9 и 0.4.2.7 коригира DoS уязвимостта

Представено коригиращи версии на инструментариума Tor (0.3.5.10, 0.4.1.9, 0.4.2.7, 0.4.3.3-alpha), използвани за организиране на работата на анонимната мрежа Tor. Новите версии поправят две уязвимости:

• CVE-2020 10592- — може да се използва от всеки нападател за иницииране на отказ на услуга за релета. Атаката може да бъде извършена и от сървъри на директория Tor за атака на клиенти и скрити услуги. Нападателят може да създаде условия, които водят до твърде голямо натоварване на процесора, нарушавайки нормалната работа за няколко секунди или минути (чрез повтаряне на атаката DoS може да бъде удължен за дълго време). Проблемът се появява от версия 0.2.1.5-alpha.
• CVE-2020 10593- — дистанционно инициирано изтичане на памет, което възниква, когато запълването на веригата е двойно съпоставено за една и съща верига.

Може също да се отбележи, че в Tor Browser 9.0.6 уязвимостта в добавката остава неотстранена NoScript, което ви позволява да стартирате JavaScript код в най-безопасния режим на защита. За тези, за които забраната за изпълнение на JavaScript е важна, се препоръчва временно да деактивират използването на JavaScript в браузъра в about:config, като променят параметъра javascript.enabled в about:config.

Те се опитаха да отстранят дефекта в NoScript 11.0.17, но както се оказа, предложената корекция не решава напълно проблема. Съдейки по промените в следващото пуснато издание NoScript 11.0.18, проблемът също не е решен. Tor Browser включва автоматични актуализации на NoScript, така че след като корекцията е налична, тя ще бъде доставена автоматично.

Източник: opennet.ru