Gli sviluppatori della rete anonima Tor hanno pubblicato i risultati dell'audit del browser Tor e degli strumenti sviluppati dal progetto OONI Probe, rdsys, BridgeDB e Conjure, utilizzati per eludere la censura. L'audit è stato condotto dalla società Cure53 da novembre 2022 ad aprile 2023.
Durante la verifica sono state identificate 9 vulnerabilità, di cui due sono classificate come pericolose, una con un livello di pericolo medio e 6 classificate come problemi di livello di pericolo insignificante. Inoltre, nel codice sono state trovate 10 problematiche non correlate alla sicurezza. Nel complesso, il codice del progetto Tor è stato segnalato come conforme alle pratiche di programmazione sicura.
La prima vulnerabilità pericolosa era presente nel backend del sistema distribuito rdsys, che fornisce a utenti censurati risorse come elenchi di proxy e collegamenti per il download. La vulnerabilità è causata dall'assenza di autenticazione nell'accesso all'handler di registrazione delle risorse, consentendo a un attaccante di registrare la propria risorsa dannosa per la distribuzione agli utenti. L'exploitation consiste nell'invio di una richiesta HTTP all'handler rdsys.
La seconda vulnerabilità pericolosa è stata trovata nel Tor Browser ed è stata causata dall'assenza di verifica della firma digitale nel ricevere l'elenco dei nodi bridge tramite rdsys e BridgeDB. Poiché l'elenco viene caricato nel browser prima della connessione alla rete anonima Tor, l'assenza di verifica della firma digitale crittografica consente a un attaccante di sostituire il contenuto dell'elenco, ad esempio attraverso l'intercettazione della connessione o l'hacking tramite cui viene distribuito l'elenco. serverIn caso di attacco riuscito, l'attaccante potrebbe fare connettere gli utenti tramite il proprio nodo bridge compromesso.
Una vulnerabilità di rischio medio era presente nel sottosistema rdsys nello script di distribuzione delle build e consentiva a un attaccante di elevare i propri privilegi da utente nobody a utente rdsys, se avesse avuto accesso e la possibilità di scrivere nella directory dei file temporanei. server L'exploitation della vulnerabilità consiste nell'inserire un file eseguibile nella directory /tmp. Ottenere i diritti utente rdsys consente all'attaccante di apportare modifiche ai file eseguibili gestiti tramite rdsys.
Le vulnerabilità a basso rischio erano principalmente legate all'uso di dipendenze obsolete contenenti vulnerabilità note o alla possibilità di attacchi di denial of service. Tra le vulnerabilità minori nel Tor Browser si segnalano la possibilità di aggirare il divieto di esecuzione di JavaScript impostando il livello di protezione massimo, la mancanza di restrizioni sul caricamento di file e la potenziale perdita di dati attraverso la homepage dell'utente, che consente di monitorare gli utenti tra i riavvii.
Attualmente, tutte le vulnerabilità sono state risolte; tra l'altro, è stata implementata l'autenticazione per tutti i gestori rdsys ed è stato aggiunto un controllo delle firme digitali per le liste caricate nel Tor Browser.
In aggiunta, si segnala il rilascio di Tor Browser 13.0.1. Il rilascio è sincronizzato con la base di codice di Firefox 115.4.0 ESR, nella quale sono state risolte 19 vulnerabilità (13 classificate come critiche). Le correzioni delle vulnerabilità dalla versione di Firefox 119 sono state trasferite nella versione 13.0.1 di Tor Browser per Android.
Fonte: opennet.ru
