Mozilla ilmoitti poistavansa kaksi lisäosaa addons.mozilla.org (AMO) -luettelosta - Bypass ja Bypass XM, joissa oli 455 XNUMX aktiivista asennusta ja jotka oli sijoitettu lisäosiksi, jotka tarjoavat pääsyn maksullisen tilauksen kautta jaettuun materiaaliin ( ohittamalla Paywallin). Lisäosien liikenteen muokkaamiseen käytettiin Proxy API:ta, jonka avulla voit hallita selaimen suorittamia verkkopyyntöjä. Mainittujen toimintojen lisäksi nämä lisäosat käyttivät välityspalvelinsovellusliittymää estämään puhelut Mozilla-palvelimille, mikä esti päivitysten lataamisen Firefoxiin ja johti korjaamattomien haavoittuvuuksien kerääntymiseen, joiden kautta hyökkääjät saattoivat hyökätä käyttäjien järjestelmiin.
On huomionarvoista, että sen lisäksi, että kyseisten lisäosien toiminnasta johtuvien Firefox-versioiden päivitysten vastaanottaminen estyi, myös etäkonfiguroitavien selainkomponenttien päivitys ja pääsy estoluetteloihin oli mahdollista poistaa käytöstä. käyttäjäjärjestelmiin jo asennetut haitalliset lisäosat estettiin. Käyttäjiä kehotetaan tarkistamaan selaimen nykyinen versio - ellei päivitysten automaattista asennusta ole erikseen estetty asetuksista ja versio eroaa Firefox 93:sta tai 91.2:sta, heidän tulee päivittää manuaalisesti. Firefoxin uusissa julkaisuissa Bypass- ja Bypass XM -lisäosat ovat jo mustalla listalla, joten ne poistetaan automaattisesti käytöstä selaimen päivityksen jälkeen.
Suojatakseen haitallisten lisäosien tulevaa käyttöönottoa, jotka estävät päivitysten ja mustien listojen lataamisen Firefox 91.1:stä alkaen, koodiin tehtiin muutoksia, jotka kutsuvat suoria latauspalvelimia ja tarkistavat päivitykset, jos välityspalvelimen kautta lähetetty pyyntö epäonnistui. Suojauksen laajentamiseksi minkä tahansa Firefox-version käyttäjille on laadittu pakotettu järjestelmälisäosa "Proxy Failover", joka estää välityspalvelimen API:n virheellisen käytön Mozillan palveluiden estämiseen. Addons.mozilla.org-hakemistoon välityspalvelinsovellusliittymää käyttävien uusien lisäysten hyväksyminen on keskeytetty, kunnes ehdotettu suojausmenetelmä on levitetty laajalle.
Lähde: opennet.ru