A empresa Mozilla anunciou a conclusão de uma auditoria independente do software cliente para conexão ao serviço Mozilla VPN. Durante a auditoria, foi realizada uma análise do aplicativo cliente isolado, desenvolvido com a biblioteca Qt e disponibilizado para Linux, macOS, Windows, Android e iOS. O serviço Mozilla VPN é suportado por mais de 400 servidores do provedor de VPN sueco Mullvad, localizados em mais de 30 países. A conexão ao VPN-serviço é realizada através do protocolo WireGuard.
A auditoria foi realizada pela Cure53, que anteriormente realizou auditorias em projetos como NTPsec, SecureDrop, Cryptocat, F-Droid e Dovecot. A auditoria abrangeu a verificação dos códigos-fonte e incluiu a realização de testes para identificar possíveis vulnerabilidades (questões relacionadas à criptografia não foram abordadas). Durante a revisão, 16 problemas de segurança foram identificados, dos quais 8 foram classificados como recomendações, 5 receberam baixo nível de gravidade, 2, médio, e 1, alto.
No entanto, apenas um problema de médio nível de gravidade foi classificado como uma vulnerabilidade, já que apenas ele era passível de exploração. O problema mencionado resultava em vazamento de informações sobre o uso da VPN no código para detectar captive portal devido ao envio de solicitações diretas não criptografadas via HTTP, transmitidas fora do túnel VPN e revelando o IP público do usuário caso um invasor pudesse controlar o tráfego de trânsito. O problema é resolvido desativando o modo de detecção de captive portal nas configurações.
O segundo problema de nível médio de gravidade está relacionado à falta de limpeza adequada de valores não numéricos no número da porta, o que permite causar uma vazamento de parâmetros de autenticação OAuth por meio da substituição do número da porta por uma string no formato "1234@example.com", o que resultará na instalação de uma tag <img src="»http://127.0.0.1:1234@example.com/?code=…»" alt="»»">, que faz referência a example.com em vez de 127.0.0.1.
O terceiro problema, classificado como perigoso, permite que qualquer aplicativo local, sem autenticação, se conecte ao cliente VPN através de WebSocket, vinculado ao localhost. Como exemplo, foi demonstrado que, com o cliente VPN ativo, qualquer site poderia organizar a criação e o envio de uma captura de tela por meio da geração de um evento screen_capture. O problema não foi classificado como uma vulnerabilidade, pois o WebSocket era utilizado apenas em compilações internas de teste e a utilização deste canal de comunicação estava planejada para o futuro, para organizar a interação com a extensão do navegador.
Fonte: opennet.ru
