Firma Mozilla ogłosiła usunięcie z katalogu addons.mozilla.org (AMO) dwóch dodatków — Bypass i Bypass XM, które miały 455 tysięcy aktywnych instalacji i były reklamowane jako dodatki umożliwiające dostęp do materiałów udostępnianych na zasadzie płatnej subskrypcji (obchodzenie Paywalla). Do modyfikacji ruchu w dodatkach wykorzystywano API Proxy, które pozwalało kontrolować wykonywane przez przeglądarkę żądania webowe. Oprócz deklarowanych funkcji, te dodatki wykorzystywały API Proxy do blokowania połączeń z serwerami Mozilli, co uniemożliwiało pobieranie aktualizacji Firefoksa i prowadziło do gromadzenia nieusuniętych podatności, za pomocą których przestępcy mogli atakować systemy użytkowników.
Interesujące jest to, że oprócz uniemożliwienia pobierania aktualizacji wersji Firefoksa w wyniku działania omawianych dodatków, również naruszone zostało aktualizowanie zdalnie konfigurowanych komponentów przeglądarki oraz zamknięto dostęp do list blokujących, które pozwalały na wyłączenie już zainstalowanych na systemach użytkowników złośliwych dodatków. Użytkownikom zaleca się sprawdzenie bieżącej wersji przeglądarki — jeśli w ustawieniach celowo nie wyłączono automatycznej instalacji aktualizacji i wersja różni się od Firefoksa 93 lub 91.2, należy przeprowadzić aktualizację ręcznie. W nowych wersjach Firefoksa dodatki Bypass i Bypass XM zostały już dodane do czarnej listy, dlatego po aktualizacji przeglądarki zostaną one automatycznie wyłączone.
Aby zapobiec w przyszłości publikacji złośliwych dodatków, które blokują pobieranie aktualizacji i czarnych list, od Firefoksa 91.1 wprowadzono zmiany w kodzie z realizacją bezpośrednich odwołań do serwerów pobierania i weryfikacji aktualizacji, jeśli żądanie przez proxy okazało się nieudane. W celu rozszerzenia ochrony na użytkowników wszystkich wersji Firefoksa przygotowano wymuszone do zainstalowania systemowe rozszerzenie „Proxy Failover”, które zapobiega niewłaściwemu wykorzystywaniu API Proxy do blokowania usług Mozilli. Do powszechnego wdrożenia proponowanej metody ochrony, przyjmowanie nowych dodatków wykorzystujących API Proxy do katalogu addons.mozilla.org zostało wstrzymane.
Źródło: opennet.ru
