Udviklerne af det anonyme Tor-netværk har offentliggjort resultaterne af en revision af Tor-browseren og værktøjerne OONI Probe, rdsys, BridgeDB og Conjure udviklet af projektet, der bruges til at omgå censur. Revisionen blev udført af Cure53 fra november 2022 til april 2023.
Under revisionen blev der identificeret 9 sårbarheder, hvoraf to blev klassificeret som farlige, en var tildelt en middel faregrad, og 6 blev klassificeret som problemer med en mindre faregrad. Også i kodebasen blev der fundet 10 problemer, der blev klassificeret som ikke-sikkerhedsrelaterede fejl. Generelt noteres Tor-projektets kode for at overholde sikker programmeringspraksis.
Den første farlige sårbarhed var til stede i backend af det distribuerede rdsys-system, som sikrer levering af ressourcer såsom proxy-lister og download-links til censurerede brugere. Sårbarheden er forårsaget af manglende godkendelse ved adgang til ressourceregistreringsbehandleren og tillod en angriber at registrere deres egen ondsindede ressource til levering til brugere. Operationen koger ned til at sende en HTTP-anmodning til rdsys-handleren.
Den anden farlige sårbarhed blev fundet i Tor Browser og var forårsaget af manglende verifikation af digital signatur ved hentning af en liste over broknuder via rdsys og BridgeDB. Da listen indlæses i browseren på tidspunktet før forbindelsen til det anonyme Tor-netværk, tillod manglen på verifikation af den kryptografiske digitale signatur en angriber at erstatte indholdet af listen, for eksempel ved at opsnappe forbindelsen eller hacke serveren hvorigennem listen distribueres. I tilfælde af et vellykket angreb kan angriberen sørge for, at brugere kan oprette forbindelse gennem deres egen kompromitterede broknude.
En middelsvær sårbarhed var til stede i rdsys-undersystemet i assembly-implementeringsscriptet og gjorde det muligt for en angriber at hæve sine privilegier fra nobody-brugeren til rdsys-brugeren, hvis han havde adgang til serveren og mulighed for at skrive til mappen med midlertidig filer. Udnyttelse af sårbarheden involverer udskiftning af den eksekverbare fil, der findes i /tmp-mappen. At opnå rdsys-brugerrettigheder gør det muligt for en angriber at foretage ændringer i eksekverbare filer, der er startet gennem rdsys.
Sårbarheder med lav sværhedsgrad skyldtes primært brugen af forældede afhængigheder, der indeholdt kendte sårbarheder eller potentialet for lammelsesangreb. Mindre sårbarheder i Tor Browser inkluderer evnen til at omgå JavaScript, når sikkerhedsniveauet er sat til det højeste niveau, manglen på restriktioner på fildownloads og den potentielle læk af information gennem brugerens hjemmeside, hvilket gør det muligt for brugere at blive sporet mellem genstarter.
I øjeblikket er alle sårbarheder blevet rettet, blandt andet er godkendelse implementeret for alle rdsys-handlere, og kontrol af lister indlæst i Tor-browseren med digital signatur er tilføjet.
Derudover kan vi bemærke udgivelsen af Tor Browser 13.0.1. Udgivelsen er synkroniseret med Firefox 115.4.0 ESR-kodebasen, som retter 19 sårbarheder (13 betragtes som farlige). Sårbarhedsrettelser fra Firefox filial 13.0.1 er blevet overført til Tor Browser 119 til Android.
Kilde: opennet.ru