Vývojáři anonymní sítě Tor zveřejnili výsledky auditu prohlížeče Tor a v rámci projektu vyvinutých nástrojů OONI Probe, rdsys, BridgeDB a Conjure sloužících k obcházení cenzury. Audit prováděl Cure53 od listopadu 2022 do dubna 2023.
Během auditu bylo identifikováno 9 zranitelností, z nichž dvě byly klasifikovány jako nebezpečné, jedna byla označena středním stupněm nebezpečí a 6 bylo klasifikováno jako problémy s menším stupněm nebezpečí. Také v základně kódu bylo nalezeno 10 problémů, které byly klasifikovány jako chyby nesouvisející se zabezpečením. Obecně platí, že kód projektu Tor je v souladu s postupy bezpečného programování.
První nebezpečná chyba zabezpečení byla přítomna v backendu distribuovaného systému rdsys, který zajišťuje doručování zdrojů, jako jsou seznamy proxy a odkazy ke stažení cenzurovaným uživatelům. Tato chyba zabezpečení je způsobena nedostatečným ověřením při přístupu k obslužné rutině registrace zdroje a umožnila útočníkovi zaregistrovat svůj vlastní škodlivý zdroj pro doručení uživatelům. Operace se scvrkává na odeslání požadavku HTTP obslužné rutině rdsys.
Druhá nebezpečná chyba zabezpečení byla nalezena v prohlížeči Tor a byla způsobena nedostatečným ověřením digitálního podpisu při načítání seznamu uzlů mostu přes rdsys a BridgeDB. Vzhledem k tomu, že seznam je načten do prohlížeče ve fázi před připojením k anonymní síti Tor, chybějící ověření kryptografického digitálního podpisu umožnilo útočníkovi nahradit obsah seznamu, například zachycením připojení nebo hacknutím serveru. prostřednictvím kterého je seznam distribuován. V případě úspěšného útoku by útočník mohl zařídit, aby se uživatelé připojili přes jejich vlastní kompromitovaný uzel mostu.
Středně závažná zranitelnost byla přítomna v subsystému rdsys ve skriptu nasazení sestavení a umožňovala útočníkovi povýšit svá oprávnění z uživatele none na uživatele rdsys, pokud měl přístup k serveru a možnost zapisovat do adresáře s dočasným soubory. Zneužití této chyby zabezpečení zahrnuje nahrazení spustitelného souboru umístěného v adresáři /tmp. Získání uživatelských práv rdsys umožňuje útočníkovi provádět změny ve spustitelných souborech spouštěných prostřednictvím rdsys.
Nízká zranitelnost byla způsobena především používáním zastaralých závislostí, které obsahovaly známé zranitelnosti nebo potenciálem odmítnutí služby. Mezi drobné zranitelnosti Tor Browseru patří možnost obejít JavaScript, když je úroveň zabezpečení nastavena na nejvyšší úroveň, chybějící omezení stahování souborů a potenciální únik informací přes domovskou stránku uživatele, což umožňuje sledování uživatelů mezi restarty.
Aktuálně jsou všechny zranitelnosti opraveny, mimo jiné byla implementována autentizace pro všechny handlery rdsys a přidána kontrola seznamů načtených do Tor Browseru pomocí digitálního podpisu.
Kromě toho můžeme zaznamenat vydání prohlížeče Tor 13.0.1. Vydání je synchronizováno s kódovou základnou Firefoxu 115.4.0 ESR, která opravuje 19 zranitelností (13 je považováno za nebezpečné). Opravy zranitelnosti z Firefoxu větve 13.0.1 byly přeneseny do Tor Browser 119 pro Android.
Zdroj: opennet.ru