Die Entwickler des anonymen Netzwerks Tor haben die Ergebnisse des Audits des Tor Browsers sowie der vom Projekt entwickelten Werkzeuge OONI Probe, rdsys, BridgeDB und Conjure, die zur Umgehung von Zensur verwendet werden, veröffentlicht. Das Audit wurde von der Firma Cure53 von November 2022 bis April 2023 durchgeführt.
Bei der Überprüfung wurden 9 Sicherheitsanfälligkeiten festgestellt, von denen zwei als gefährlich, eine als mittelgefährlich und 6 als Probleme mit geringfügiger Gefahr eingestuft wurden. Zudem wurden in der Codebasis 10 Probleme gefunden, die als nicht sicherheitsrelevante Mängel kategorisiert wurden. Insgesamt wurde der Code des Tor-Projekts als konform mit den Praktiken der sicheren Programmierung bewertet.
Die erste gefährliche Sicherheitsanfälligkeit trat im Backend des verteilten Systems rdsys auf, das die Bereitstellung von Ressourcen wie Proxy-Listen und Download-Links für zensierte Benutzer sicherstellt. Die Anfälligkeit wurde durch das Fehlen einer Authentifizierung beim Zugriff auf den Registrierungs-Handler der Ressourcen verursacht und erlaubte einem Angreifer, eine eigene schädliche Ressource zur Bereitstellung an Benutzer zu registrieren. Die Ausnutzung beschränkt sich auf das Senden einer HTTP-Anfrage an den Handler rdsys.
Die zweite gefährliche Sicherheitsanfälligkeit wurde im Tor Browser gefunden und war das Ergebnis fehlender Überprüfung der digitalen Signatur beim Erhalt der Liste von Brückenknoten über rdsys und BridgeDB. Da die Liste im Browser vor der Verbindung zum anonymen Tor-Netzwerk geladen wird, ermöglichte das Fehlen einer Überprüfung der kryptografischen digitalen Signatur einem Angreifer, den Inhalt der Liste zu manipulieren, beispielsweise durch Abfangen der Verbindung oder Hacks. Server, über die die Liste verbreitet wird. Im Falle eines erfolgreichen Angriffs könnte der Angreifer eine Verbindung der Benutzer über seinen eigenen kompromittierten Brückenknoten organisieren.
Die Sicherheitsanfälligkeit mittlerer Gefahr war in der Subsystem rdsys im Skript zur Bereitstellung von Builds vorhanden und erlaubte einem Angreifer, seine Privilegien vom Benutzer nobody auf den Benutzer rdsys zu erhöhen, sofern er Zugriff auf zu einem Server und Schreibrechte im temporären Verzeichnis hatte. Die Ausnutzung der Anfälligkeit besteht darin, die ausführbare Datei im Verzeichnis /tmp zu ersetzen. Der Erwerb der Benutzerrechte von rdsys ermöglicht es dem Angreifer, Änderungen an den von rdsys ausgeführten Programmen vorzunehmen.
Die Schwachstellen mit niedrigem Schweregrad standen hauptsächlich im Zusammenhang mit der Verwendung veralteter Abhängigkeiten, die bekannte Schwachstellen aufwiesen, oder der Möglichkeit von Denial-of-Service-Angriffen. Unter den geringfügigen Schwachstellen im Tor-Browser wurde die Möglichkeit festgestellt, die Ausführung von JavaScript bei Höchstschutzstufe zu umgehen, das Fehlen von Einschränkungen beim Hochladen von Dateien und eine potenzielle Informationsleckage über die Benutzer-Homepage, die es ermöglicht, Benutzer zwischen Neustarts zu verfolgen.
Derzeit sind alle Schwachstellen behoben. Unter anderem wurde eine Authentifizierung für alle rdsys-Handler implementiert und eine Prüfung der in den Tor-Browser hochgeladenen Listen auf digitale Signaturen hinzugefügt.
Zusätzlich kann die Veröffentlichung des Tor-Browsers 13.0.1 erwähnt werden. Dieser Release ist mit dem Code-Basis von Firefox 115.4.0 ESR synchronisiert, in der 19 Schwachstellen behoben wurden (13 davon als kritisch eingestuft). Die Schwachstellenkorrekturen aus dem Firefox 119-Bereich wurden in die Version Tor-Browser 13.0.1 für Android übertragen.
Quelle: opennet.ru
