Anoniminio „Tor“ tinklo kūrėjai paskelbė „Tor Browser“ ir projekto sukurtų įrankių „OONI Probe“, „rdsys“, „BridgeDB“ ir „Conjure“, naudojamų cenzūrai apeiti, audito rezultatus. Auditą Cure53 atliko nuo 2022 m. lapkričio mėn. iki 2023 m. balandžio mėn.
Audito metu buvo nustatyti 9 pažeidžiamumai, iš kurių du priskirti pavojingiems, vienam – vidutinis pavojingumo lygis, 6 – mažo pavojingumo problemoms. Taip pat kodų bazėje buvo rasta 10 problemų, kurios buvo klasifikuojamos kaip su sauga nesusiję trūkumai. Apskritai pažymima, kad „Tor Project“ kodas atitinka saugaus programavimo praktiką.
Pirmasis pavojingas pažeidžiamumas buvo rdsys paskirstytos sistemos užpakalinėje dalyje, kuri užtikrina išteklių, pvz., tarpinių serverių sąrašų ir atsisiuntimo nuorodų, pristatymą cenzūruojamiems vartotojams. Pažeidžiamumą sukelia autentifikavimo trūkumas pasiekiant išteklių registravimo tvarkyklę ir leido užpuolikui užregistruoti savo kenksmingus išteklius, kad jie būtų pristatyti vartotojams. Operacija apsiriboja HTTP užklausos siuntimu rdsys tvarkytojui.
Antrasis pavojingas pažeidžiamumas buvo rastas „Tor Browser“, kurį sukėlė skaitmeninio parašo patikrinimo trūkumas, kai gaunamas tilto mazgų sąrašas per rdsys ir BridgeDB. Kadangi sąrašas įkeliamas į naršyklę prieš prisijungiant prie anoniminio „Tor“ tinklo, kriptografinio skaitmeninio parašo patikrinimo trūkumas leido užpuolikui pakeisti sąrašo turinį, pavyzdžiui, perimdamas ryšį arba įsilauždamas į serverį. per kurią sąrašas platinamas. Sėkmingos atakos atveju užpuolikas gali pasirūpinti, kad vartotojai prisijungtų per savo pažeistą tilto mazgą.
Asamblėjos diegimo scenarijaus rdsys posistemyje buvo vidutinio sunkumo pažeidžiamumas, kuris leido užpuolikui pakelti savo teises iš niekieno vartotojo į rdsys vartotoją, jei jis turėjo prieigą prie serverio ir galimybę rašyti į katalogą laikinai failus. Pažeidžiamumo išnaudojimas apima vykdomojo failo, esančio /tmp kataloge, pakeitimą. Įgijęs rdsys vartotojo teises, užpuolikas gali keisti vykdomuosius failus, paleistus per rdsys.
Mažo sunkumo pažeidžiamumai pirmiausia atsirado dėl pasenusių priklausomybių, kuriose buvo žinomų pažeidžiamumų, naudojimo arba dėl galimybės atsisakyti teikti paslaugą. Nedideli „Tor Browser“ pažeidžiamumai apima galimybę apeiti „JavaScript“, kai saugumo lygis nustatytas iki aukščiausio lygio, failų atsisiuntimo apribojimų nebuvimą ir galimą informacijos nutekėjimą per vartotojo pagrindinį puslapį, leidžiantį sekti vartotojus tarp paleidimų iš naujo.
Šiuo metu visi pažeidžiamumai ištaisyti, be kita ko, įdiegtas visų rdsys tvarkyklių autentifikavimas ir įtrauktas į Tor naršyklę įkeltų sąrašų tikrinimas skaitmeniniu parašu.
Be to, galime atkreipti dėmesį į „Tor Browser 13.0.1“ versiją. Leidimas sinchronizuojamas su Firefox 115.4.0 ESR kodų baze, kuri ištaiso 19 pažeidžiamumų (13 laikomi pavojingais). Pažeidžiamumo pataisymai iš „Firefox“ filialo 13.0.1 buvo perkelti į „Tor Browser 119“, skirtą „Android“.
Šaltinis: opennet.ru