Mozilla va anunciar l'eliminació del catàleg addons.mozilla.org (AMO) de dos complements: Bypass i Bypass XM, que tenien 455 instal·lacions actives i es van posicionar com a complements per proporcionar accés a materials distribuïts mitjançant una subscripció de pagament (Paywall). bypass). Per modificar el trànsit dels complements s'ha utilitzat l'API Proxy, que permet controlar les peticions web que fa el navegador. A més de les funcions declarades, aquests complements utilitzaven l'API Proxy per bloquejar les trucades als servidors de Mozilla, la qual cosa va impedir la descàrrega d'actualitzacions a Firefox i va provocar l'acumulació de vulnerabilitats sense pegats que podien ser utilitzades pels atacants per atacar els sistemes dels usuaris.
Cal destacar que, a més d'impedir la recepció d'actualitzacions de les versions de Firefox, com a conseqüència de les activitats dels complements en qüestió, també es va interrompre l'actualització dels components del navegador configurats de manera remota i es va denegar l'accés a les llistes de bloqueig, fet que va fer és possible desactivar els complements maliciosos ja instal·lats als sistemes dels usuaris. Es recomana als usuaris que comprovin la versió actual del navegador; si la configuració no desactiva específicament les actualitzacions automàtiques i la versió és diferent de Firefox 93 o 91.2, hauríeu d'actualitzar manualment. A les noves versions de Firefox, els complements Bypass i Bypass XM ja estan a la llista negra, de manera que després d'actualitzar el navegador es desactivaran automàticament.
Per protegir-se de la col·locació de complements maliciosos en el futur que bloquegen la descàrrega d'actualitzacions i llistes negres, a partir de Firefox 91.1, es van fer canvis al codi per implementar trucades directes als servidors de descàrrega i comprovar si hi ha actualitzacions si la sol·licitud a través del el proxy no ha tingut èxit. Per estendre la protecció als usuaris de totes les versions de Firefox, s'ha preparat una instal·lació forçada del complement del sistema Proxy Failover, que evita l'ús incorrecte de l'API Proxy per bloquejar els serveis de Mozilla. Fins que el mètode de protecció proposat no es distribueixi àmpliament, se suspèn l'acceptació de nous complements amb l'API Proxy al directori addons.mozilla.org.
Font: opennet.ru