Gli sviluppatori della rete anonima Tor hanno pubblicato i risultati del secondo audit condotto dall'azienda Radically Open Security da aprile ad agosto 2023 (precedentemente, il primo audit era stato realizzato dalla Cure53 da novembre 2022 ad aprile 2023). Il controllo ha riguardato il codice per il funzionamento dei nodi di uscita, il browser Tor Browser, i componenti dell'infrastruttura (raccolta di metriche, SWBS, API Onionoo) e gli strumenti di testing. L'obiettivo principale della revisione era valutare le modifiche apportate per migliorare la velocità e l'affidabilità della rete Tor, come il protocollo di separazione del traffico Conflux aggiunto nella versione Tor 0.4.8 e le metodologie di protezione dei servizi Onion da attacchi DoS basati su prove di lavoro.
Durante l'audit sono state scoperte 17 vulnerabilità, solo una delle quali è stata classificata come pericolosa. Quattro vulnerabilità hanno ricevuto un livello di rischio medio, mentre 12 sono state considerate problematiche con un livello di rischio lieve. La vulnerabilità più pericolosa è stata individuata nell'applicazione onbasca (Onion Bandwidth Scanner), utilizzata per scansionare la larghezza di banda dei nodi della rete.
La vulnerabilità è causata dalla possibilità di inviare richieste tramite il metodo HTTP GET, che consente di eseguire un'iniezione di richieste cross-site per conto di un altro utente (CSRF, Cross-Site Request Forgery), dando all'attaccante la possibilità di aggiungere i propri nodi di ponte nel database manipolando il parametro "bridge_lines". Ad esempio, l'attaccante può pubblicare una pagina web con il codice JavaScript fetch("http://127.0.0.1:8000/bridge-state/?bridge_lines=obfs4+0.0.0.000000+AAA+cert0+iat-mode0", e se questa pagina viene aperta da un utente con una sessione attiva sull'Onion Bandwidth Scanner, l'IP "0.0.0.0" verrà aggiunto al database a nome suo.
Problemi con livello di rischio medio:
- Negazione del servizio in metrics-lib attraverso l'invio di un grande file compresso — poiché il file viene estratto in memoria, è possibile inviare una sorta di bomba zip (ad esempio, si può comprimere 600 MB di zeri in 0.0006 MB) e causare l'esaurimento della memoria disponibile.
- Utilizzo nel servizio tor-android-service (usato nel Tor browser per Android) di un modulo di terze parti tun2socks, il cui supporto è stato interrotto.
- Scrittura di un byte nullo oltre il confine del buffer allocato nel client Tor a causa dell'uso della funzione read_file_to_str_until_eof, che restituisce la dimensione senza considerare il carattere nullo.
- Una vulnerabilità in sbws (Simple Bandwidth Scanner) permette di ripristinare la connessione HTTPS a HTTP, utilizzando un reindirizzamento a HTTP. Un nodo di uscita Tor controllato dall'attaccante potrebbe sfruttare questa vulnerabilità per organizzare una fuga di token API.
Fonte: opennet.ru
