Mozilla е премахнала две популярни добавки, блокиращи изтеглянето на актуализации за Firefox.

Компания Mozilla обяви за премахването на две добавки от каталога addons.mozilla.org (AMO) — Bypass и Bypass XM, които имаха 455 хиляди активни инсталации и бяха позиционирани като добавки за предоставяне на достъп до материали, разпространявани с платена абонаментна услуга (обход на Paywall). За модификация на трафика в добавките се използваше API Proxy, позволяващ контрол над извършените от браузъра уеб запитвания. Освен заявените функции, посочените добавки използваха API Proxy за блокиране на обращенията към сървърите на Mozilla, което не позволяваше зареждането на актуализации за Firefox и доведе до натрупване на неизправени уязвимости, чрез които злонамерени лица можеха да атакуват системите на потребителите.

Забележително е, че освен предотвратяване на получаването на актуализации на версиите на Firefox в резултат на дейността на разглежданите добавки, беше нарушено и обновлението на дистанционно настраиваемите компоненти на браузъра, както и блокиран достъп до списъците за блокиране, позволяващи деактивиране на вече инсталирани на системите на потребителите злонамерени добавки. На потребителите се препоръчва да проверят текущата версия на браузъра — ако в настройките не е изрично деактивирана автоинсталацията на актуализации и версията е различна от Firefox 93 или 91.2, следва да се извърши актуализация ръчно. В новите версии на Firefox, добавките Bypass и Bypass XM вече са включени в черния списък, затова след актуализацията на браузъра те ще бъдат автоматично деактивирани.

За защита от разпространение в бъдеще на злонамерени добавки, които блокират зареждането на актуализации и черни списъци, от версия Firefox 91.1 в кода бяха внесени промени, реализиращи директни обращения към сървърите за зареждане и проверка на актуализациите, ако запитването през прокси е неуспешно. За разширяване на защитата за потребители на всякакви версии на Firefox беше подготвено принудително инсталирано системно добавка „Proxy Failover“, което предотвратява неправилното използване на API Proxy за блокиране на услугите на Mozilla. До широко разпространение на предложената защитна методология, приемът на нови добавки, използващи API Proxy, в каталога addons.mozilla.org е спрян.

Източник: opennet.ru