עדכן את Tor 0.3.5.10, 0.4.1.9 ו-0.4.2.7 עם ביטול פגיעות DoS

הוצג מהדורות מתקנות של ערכת הכלים של Tor (0.3.5.10, 0.4.1.9, 0.4.2.7, 0.4.3.3-alpha), המשמשת לארגון העבודה של רשת Tor האנונימית. הגרסאות החדשות מתקנות שתי נקודות תורפה:

• CVE-2020-10592 - יכול לשמש כל תוקף כדי ליזום מניעת שירות לממסרים. המתקפה יכולה להתבצע גם על ידי שרתי ספרייה של Tor כדי לתקוף לקוחות ושירותים נסתרים. תוקף יכול ליצור תנאים שמובילים לעומס רב מדי על המעבד, לשבש את הפעולה הרגילה למשך מספר שניות או דקות (על ידי חזרה על המתקפה, ניתן להאריך את ה-DoS לזמן רב). הבעיה מופיעה מאז גרסה 0.2.1.5-alpha.
• CVE-2020-10593 - דליפת זיכרון היזומה מרחוק המתרחשת כאשר ריפוד המעגל מותאם כפול עבור אותה שרשרת.

ניתן גם לציין כי ב דפדפן Tor 9.0.6 הפגיעות בתוסף נשארת ללא תיקון NoScript, המאפשר לך להריץ קוד JavaScript במצב ההגנה הבטוחה ביותר. למי שחשוב לאסור על ביצוע JavaScript, מומלץ להשבית זמנית את השימוש ב-JavaScript בדפדפן ב- about:config על ידי שינוי הפרמטר javascript.enabled ב- about:config.

הם ניסו לבטל את הפגם ב NoScript 11.0.17, אך כפי שהתברר, התיקון המוצע אינו פותר לחלוטין את הבעיה. אם לשפוט לפי השינויים במהדורה הבאה שפורסמה NoScript 11.0.18, גם הבעיה לא נפתרה. דפדפן Tor כולל עדכוני NoScript אוטומטיים, כך שברגע שתיקון זמין, הוא יימסר אוטומטית.

מקור: OpenNet.ru