Mozilla a anunțat eliminarea a două suplimente din catalogul addons.mozilla.org (AMO) - Bypass și Bypass XM, care aveau 455 de mii de instalări active și erau poziționate ca suplimente pentru asigurarea accesului la materialele distribuite printr-un abonament plătit ( ocolind Paywall). Pentru a modifica traficul din suplimente, a fost folosit API-ul Proxy, care vă permite să controlați solicitările web efectuate de browser. Pe lângă funcțiile declarate, aceste suplimente au folosit API-ul Proxy pentru a bloca apelurile către serverele Mozilla, ceea ce a împiedicat descărcarea actualizărilor în Firefox și a dus la acumularea de vulnerabilități neremediate, prin care atacatorii puteau ataca sistemele utilizatorilor.
Este de remarcat faptul că, pe lângă împiedicarea primirii de actualizări la versiunile Firefox ca urmare a activităților suplimentelor în cauză, a fost întreruptă și actualizarea componentelor browserului configurabile de la distanță și accesul la listele de blocare care au făcut posibilă dezactivarea. suplimentele rău intenționate deja instalate pe sistemele utilizatorilor au fost refuzate. Utilizatorii sunt sfătuiți să verifice versiunea curentă a browserului - cu excepția cazului în care instalarea automată a actualizărilor este dezactivată în mod special în setări și versiunea este diferită de Firefox 93 sau 91.2, ar trebui să se actualizeze manual. În noile versiuni ale Firefox, suplimentele Bypass și Bypass XM sunt deja pe lista neagră, așa că vor fi dezactivate automat după actualizarea browserului.
Pentru a proteja împotriva implementării viitoare a suplimentelor rău intenționate care blochează descărcarea actualizărilor și a listelor negre, începând cu Firefox 91.1, au fost aduse modificări codului pentru a implementa apeluri directe la serverele de descărcare și a verifica dacă există actualizări dacă o solicitare prin intermediul unui proxy nu a reușit. Pentru a extinde protecția utilizatorilor oricărei versiuni de Firefox, a fost pregătit un supliment de sistem instalat forțat „Proxy Failover”, care împiedică utilizarea incorectă a API-ului Proxy pentru a bloca serviciile Mozilla. Până când metoda de protecție propusă va fi distribuită pe scară largă, acceptarea noilor completări folosind API-ul Proxy în directorul addons.mozilla.org a fost suspendată.
Sursa: opennet.ru