Ревизорски резултати на Tor Browser и Tor инфраструктурни компоненти

Програмерите на анонимната мрежа Tor ги објавија резултатите од ревизијата на Tor Browser и алатките OONI Probe, rdsys, BridgeDB и Conjure развиени од проектот, кои се користат за заобиколување на цензурата. Ревизијата беше спроведена од Cure53 од ноември 2022 година до април 2023 година.

При ревизијата се констатирани 9 пропусти, од кои две се класифицирани како опасни, на една и е одредена среден степен на опасност и 6 се класифицирани како проблеми со помал степен на опасност. Исто така, во базата на кодови, беа пронајдени 10 проблеми кои беа класифицирани како недостатоци кои не се поврзани со безбедноста. Во принцип, кодот на проектот Tor е забележан дека е во согласност со безбедните програмски практики.

Првата опасна ранливост беше присутна во задниот дел на дистрибуираниот систем rdsys, кој обезбедува испорака на ресурси како што се списоци со прокси и линкови за преземање до цензурирани корисници. Ранливоста е предизвикана од недостаток на автентикација при пристап до управувачот за регистрација на ресурси и му дозволи на напаѓачот да регистрира сопствен злонамерен ресурс за доставување до корисниците. Операцијата се сведува на испраќање HTTP барање до управувачот на rdsys.

Втората опасна ранливост беше пронајдена во прелистувачот Tor и беше предизвикана од недостаток на верификација на дигитален потпис при преземање листа на јазли на мостот преку rdsys и BridgeDB. Бидејќи списокот е вчитан во прелистувачот на сцената пред да се поврзе со анонимната мрежа Tor, недостатокот на верификација на криптографскиот дигитален потпис му овозможи на напаѓачот да ја замени содржината на списокот, на пример, со пресретнување на врската или хакирање на серверот преку кој се дистрибуира списокот. Во случај на успешен напад, напаѓачот може да организира корисниците да се поврзат преку нивниот сопствен компромитиран мост јазол.

Ранливост со средна сериозност беше присутна во потсистемот rdsys во скриптата за распоредување на склопот и му дозволи на напаѓачот да ги подигне своите привилегии од никој корисник на корисникот rdsys, доколку има пристап до серверот и можност да пишува во директориумот со привремена датотеки. Искористувањето на ранливоста вклучува замена на извршната датотека лоцирана во директориумот /tmp. Стекнувањето на кориснички права на rdsys му овозможува на напаѓачот да направи промени во извршните датотеки лансирани преку rdsys.

Ранливостите со ниска сериозност првенствено се должат на употребата на застарени зависности кои содржеле познати пропусти или потенцијал за одбивање на услугата. Помалите пропусти во прелистувачот Tor ја вклучуваат можноста за заобиколување на JavaScript кога нивото на безбедност е поставено на највисоко ниво, недостаток на ограничувања за преземање датотеки и потенцијално истекување на информации преку почетната страница на корисникот, овозможувајќи им на корисниците да се следат помеѓу рестартирањето.

Во моментов, сите пропусти се поправени; меѓу другото, имплементирана е автентикација за сите ракувачи на rdsys и додадена е проверка на списоците вчитани во прелистувачот Tor со дигитален потпис.

Дополнително, можеме да го забележиме објавувањето на Tor Browser 13.0.1. Изданието е синхронизирано со базата на кодови на Firefox 115.4.0 ESR, која поправа 19 пропусти (13 се сметаат за опасни). Поправките на ранливоста од филијалата 13.0.1 на Firefox се префрлени на Tor Browser 119 за Android.

Извор: opennet.ru