Публикувани са резултатите от одита на Mozilla VPN клиент

Mozilla обяви завършването на независим одит на клиентския софтуер за свързване към услугата Mozilla VPN. Одитът включваше анализ на самостоятелно клиентско приложение, написано с помощта на библиотеката Qt и достъпно за Linux, macOS, Windows, Android и iOS. Mozilla VPN се захранва от повече от 400 сървъра на шведския VPN доставчик Mullvad, разположени в повече от 30 държави. Връзката към VPN услугата се осъществява с помощта на протокола WireGuard.

Одитът беше извършен от Cure53, който по едно време одитираше проектите NTPsec, SecureDrop, Cryptocat, F-Droid и Dovecot. Одитът обхвана проверката на изходните кодове и включи тестове за идентифициране на възможни уязвимости (проблемите, свързани с криптографията, не бяха разгледани). По време на одита са установени 16 проблема по безопасността, от които 8 са препоръки, 5 са ​​с ниска степен на опасност, два са със средна степен и един е с висока степен на опасност.

Само един проблем със средно ниво на сериозност обаче беше класифициран като уязвимост, тъй като беше единственият, който можеше да се използва. Този проблем доведе до изтичане на информация за използване на VPN в кода за откриване на прихванат портал поради некриптирани директни HTTP заявки, изпратени извън VPN тунела, разкривайки основния IP адрес на потребителя, ако атакуващият може да контролира транзитния трафик. Проблемът се решава чрез деактивиране на режима за откриване на прихванат портал в настройките.

Вторият проблем със средна тежест е свързан с липсата на правилно почистване на нечислови стойности в номера на порта, което позволява изтичане на OAuth параметри за удостоверяване чрез замяна на номера на порта с низ като „[имейл защитен]", което ще доведе до инсталиране на етикета[имейл защитен]/?code=..." alt=""> достъп до example.com вместо 127.0.0.1.

Третият проблем, маркиран като опасен, позволява на всяко локално приложение без удостоверяване да има достъп до VPN клиент чрез WebSocket, свързан с localhost. Като пример е показано как с активен VPN клиент всеки сайт може да организира създаването и изпращането на екранна снимка чрез генериране на събитието screen_capture. Проблемът не е класифициран като уязвимост, тъй като WebSocket е използван само във вътрешни тестови компилации и използването на този комуникационен канал е планирано само в бъдеще за организиране на взаимодействие с добавка на браузъра.

Източник: opennet.ru