លទ្ធផលសវនកម្មអតិថិជន Mozilla VPN ត្រូវបានបោះពុម្ពផ្សាយ

Mozilla បានប្រកាសពីការបញ្ចប់ការធ្វើសវនកម្មឯករាជ្យនៃកម្មវិធីអតិថិជនសម្រាប់ភ្ជាប់ទៅសេវាកម្ម Mozilla VPN ។ សវនកម្មរួមមានការវិភាគនៃកម្មវិធីអតិថិជនឯករាជ្យដែលសរសេរដោយប្រើប្រាស់បណ្ណាល័យ Qt ហើយមានសម្រាប់ Linux, macOS, Windows, Android និង iOS ។ Mozilla VPN ត្រូវបានដំណើរការដោយម៉ាស៊ីនមេជាង 400 របស់អ្នកផ្តល់សេវា VPN ស៊ុយអែត Mullvad ដែលមានទីតាំងនៅជាង 30 ប្រទេស។ ការភ្ជាប់ទៅសេវាកម្ម VPN ត្រូវបានធ្វើឡើងដោយប្រើពិធីការ WireGuard ។

សវនកម្មត្រូវបានអនុវត្តដោយ Cure53 ដែលនៅពេលមួយបានធ្វើសវនកម្មលើគម្រោង NTPsec, SecureDrop, Cryptocat, F-Droid និង Dovecot ។ សវនកម្មគ្របដណ្តប់លើការផ្ទៀងផ្ទាត់ប្រភពកូដ និងរួមបញ្ចូលការធ្វើតេស្តដើម្បីកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះដែលអាចកើតមាន (បញ្ហាទាក់ទងនឹងការគ្រីបមិនត្រូវបានគេពិចារណា)។ ក្នុងអំឡុងពេលសវនកម្ម បញ្ហាសុវត្ថិភាពចំនួន 16 ត្រូវបានកំណត់អត្តសញ្ញាណ 8 ចំណុចជាអនុសាសន៍ 5 ត្រូវបានចាត់តាំងកម្រិតគ្រោះថ្នាក់ទាប XNUMX ត្រូវបានចាត់តាំងជាកម្រិតមធ្យម និងមួយត្រូវបានចាត់ថ្នាក់កម្រិតខ្ពស់នៃគ្រោះថ្នាក់។

ទោះជាយ៉ាងណាក៏ដោយ បញ្ហាតែមួយគត់ដែលមានកម្រិតធ្ងន់ធ្ងរមធ្យមត្រូវបានចាត់ថ្នាក់ថាជាភាពងាយរងគ្រោះ ដោយសារវាជាបញ្ហាតែមួយគត់ដែលអាចកេងប្រវ័ញ្ចបាន។ បញ្ហានេះបណ្តាលឱ្យមានការលេចធ្លាយព័ត៌មានអំពីការប្រើប្រាស់ VPN នៅក្នុងកូដចាប់យកច្រកចេញចូល ដោយសារសំណើ HTTP ផ្ទាល់ដែលមិនបានអ៊ិនគ្រីបដែលបានផ្ញើនៅខាងក្រៅផ្លូវរូងក្រោមដី VPN ដោយបង្ហាញអាសយដ្ឋាន IP ចម្បងរបស់អ្នកប្រើ ប្រសិនបើអ្នកវាយប្រហារអាចគ្រប់គ្រងចរាចរណ៍ឆ្លងកាត់បាន។ បញ្ហា​ត្រូវ​បាន​ដោះស្រាយ​ដោយ​បិទ​មុខងារ​ចាប់​យក​ច្រកចូល​ក្នុង​ការ​កំណត់។

បញ្ហាទីពីរនៃភាពធ្ងន់ធ្ងរមធ្យមត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងកង្វះការសម្អាតត្រឹមត្រូវនៃតម្លៃដែលមិនមែនជាលេខនៅក្នុងលេខច្រក ដែលអនុញ្ញាតឱ្យលេចធ្លាយប៉ារ៉ាម៉ែត្រផ្ទៀងផ្ទាត់ OAuth ដោយជំនួសលេខច្រកដោយខ្សែដូចជា "[អ៊ីមែលការពារ]" ដែលនឹងធ្វើឱ្យស្លាកត្រូវបានដំឡើង[អ៊ីមែលការពារ]/?code=..." alt=""> ការចូលប្រើ example.com ជំនួសឱ្យ 127.0.0.1 ។

បញ្ហាទី XNUMX ដែលត្រូវបានដាក់ទង់ថាមានគ្រោះថ្នាក់អនុញ្ញាតឱ្យកម្មវិធីក្នុងស្រុកណាមួយដោយគ្មានការផ្ទៀងផ្ទាត់ដើម្បីចូលប្រើម៉ាស៊ីនភ្ញៀវ VPN តាមរយៈ WebSocket ដែលភ្ជាប់ទៅនឹងម៉ាស៊ីនមូលដ្ឋាន។ ជាឧទាហរណ៍ វាត្រូវបានបង្ហាញពីរបៀបដែលម៉ាស៊ីនភ្ញៀវ VPN សកម្ម គេហទំព័រណាមួយអាចរៀបចំការបង្កើត និងការផ្ញើរូបថតអេក្រង់ដោយបង្កើតព្រឹត្តិការណ៍ screen_capture ។ បញ្ហាមិនត្រូវបានចាត់ថ្នាក់ថាជាភាពងាយរងគ្រោះទេ ដោយសារ WebSocket ត្រូវបានប្រើតែក្នុងការធ្វើតេស្តខាងក្នុងប៉ុណ្ណោះ ហើយការប្រើប្រាស់បណ្តាញទំនាក់ទំនងនេះត្រូវបានគ្រោងទុកតែនៅពេលអនាគតដើម្បីរៀបចំអន្តរកម្មជាមួយកម្មវិធីបន្ថែមកម្មវិធីរុករក។

ប្រភព: opennet.ru