Gli sviluppatori della rete anonima Tor hanno pubblicato i risultati dell'audit del browser Tor Browser e degli strumenti sviluppati dal progetto OONI Probe, rdsys, BridgeDB e Conjure, utilizzati per bypassare la censura. L'audit è stato condotto dall'azienda Cure53 da novembre 2022 ad aprile 2023.
Durante il controllo sono state rilevate 9 vulnerabilità, di cui due classificate come gravi, una con un livello di gravità medio e 6 classificate come problemi di insignificante gravità. Inoltre, nel codice sono state trovate 10 problematiche classificate come carenze non legate alla sicurezza. In generale, il codice del progetto Tor è stato valutato come conforme alle pratiche di programmazione sicura.
La prima vulnerabilità pericolosa era presente nel backend del sistema distribuito rdsys, che fornisce risorse censurabili agli utenti, come elenchi di proxy e link per il download. La vulnerabilità era causata dall'assenza di autenticazione nell'accesso all'handler di registrazione delle risorse, consentendo all'attaccante di registrare una propria risorsa dannosa da consegnare agli utenti. L'exploit consisteva nell'invio di una richiesta HTTP all'handler rdsys.
La seconda vulnerabilità pericolosa è stata trovata in Tor Browser ed è stata causata dall'assenza di verifica della firma digitale durante il recupero dell'elenco dei nodi di bridge tramite rdsys e BridgeDB. Poiché l'elenco viene caricato nel browser in una fase precedente alla connessione alla rete anonima Tor, la mancanza di verifica della firma digitale crittografica permetteva all'attaccante di alterare il contenuto dell'elenco, ad esempio tramite l'intercettazione della connessione o la compromissione del sistema tramite cui viene distribuito l'elenco. In caso di attacco riuscito, l'aggressore poteva dirigere gli utenti attraverso il proprio nodo di bridge compromesso. server, tramite il quale viene distribuita la lista. In caso di attacco riuscito, l'aggressore potrebbe organizzare la connessione degli utenti tramite un proprio nodo di ponte compromesso.
Una vulnerabilità di media gravità era presente nel sottosistema rdsys nello script di distribuzione delle build e consentiva a un attaccante di elevare i propri privilegi da utente nobody a utente rdsys, se si aveva accesso a server e la possibilità di scrivere nella directory dei file temporanei. Sfruttare la vulnerabilità comporta la sostituzione di un file eseguibile presente nella directory /tmp. Ottenere i diritti dell'utente rdsys consente all'attaccante di apportare modifiche ai file eseguibili avviati tramite rdsys.
Le vulnerabilità di bassa gravità erano principalmente legate all'uso di dipendenze obsolete, che presentavano vulnerabilità note, o alla possibilità di causare un'interruzione del servizio. Tra le vulnerabilità minori nel Tor Browser si segnala la possibilità di eludere il divieto di esecuzione di JavaScript impostando il livello massimo di protezione, l'assenza di limiti sul caricamento dei file e una potenziale fuga di informazioni attraverso la homepage dell'utente, che potrebbe consentire il tracciamento degli utenti tra i riavvii.
Attualmente tutte le vulnerabilità sono state corrette, tra cui l'implementazione dell'autenticazione per tutti i gestori rdsys e il controllo delle liste caricate nel Tor Browser tramite firma digitale.
Inoltre, è da segnalare il rilascio del Tor Browser 13.0.1. Questa versione è stata sincronizzata con il codice sorgente di Firefox 115.4.0 ESR, che ha corretto 19 vulnerabilità (13 considerate critiche). I fix delle vulnerabilità dalla branch di Firefox 119 sono stati portati nella versione Tor Browser 13.0.1 per Android.
Fonte: opennet.ru
