Mozilla ha annunciato la rimozione dal catalogo addons.mozilla.org (AMO) di due estensioni — Bypass e Bypass XM, che contavano 455.000 installazioni attive e si presentavano come strumenti per accedere a contenuti distribuiti tramite abbonamento a pagamento (bypassare il Paywall). Per modificare il traffico, le estensioni utilizzavano un'API Proxy, consentendo il controllo delle richieste web eseguite dal browser. Oltre alle funzioni dichiarate, le estensioni in questione utilizzavano l'API Proxy per bloccare le richieste ai server di Mozilla, impedendo il download degli aggiornamenti di Firefox e portando all'accumulo di vulnerabilità non risolte, che avrebbero potuto consentire attacchi ai sistemi degli utenti.
È interessante notare che, oltre a impedire l'installazione degli aggiornamenti di versioni di Firefox a causa delle estensioni in questione, è stato anche compromesso l'aggiornamento dei componenti del browser configurabili da remoto, bloccando l'accesso alle liste di addebito che permettevano di disattivare estensioni dannose già installate sui sistemi degli utenti. Si consiglia agli utenti di controllare la versione attuale del browser: se l'installazione automatica degli aggiornamenti non è stata disabilitata nelle impostazioni e la versione è diversa da Firefox 93 o 91.2, è necessario procedere a un aggiornamento manuale. Nelle nuove versioni di Firefox, le estensioni Bypass e Bypass XM sono già incluse nella lista nera e, quindi, dopo l'aggiornamento del browser, verranno disabilitate automaticamente.
Per proteggere gli utenti da futuri componenti aggiuntivi dannosi che bloccano il caricamento di aggiornamenti e blacklist, a partire da Firefox 91.1 sono state apportate modifiche al codice per implementare chiamate dirette ai server di download e verifica degli aggiornamenti, nel caso in cui la richiesta tramite proxy non abbia avuto successo. Per estendere questa protezione agli utenti di qualsiasi versione di Firefox, è stato preparato un componente aggiuntivo di sistema che si installa forzatamente, chiamato «Proxy Failover», che impedisce l'uso scorretto dell'API Proxy per bloccare i servizi Mozilla. Fino alla diffusione del metodo di protezione proposto, è stata sospesa l'accettazione di nuovi componenti aggiuntivi nel catalogo addons.mozilla.org che utilizzano l'API Proxy.
Fonte: opennet.ru
