Vývojári anonymnej siete Tor zverejnili výsledky auditu prehliadača Tor a nástrojov OONI Probe, rdsys, BridgeDB a Conjure vyvinutých projektom, slúžiacich na obchádzanie cenzúry. Audit vykonala spoločnosť Cure53 od novembra 2022 do apríla 2023.
Počas auditu bolo identifikovaných 9 zraniteľností, z ktorých dve boli klasifikované ako nebezpečné, jedna bola označená stredným stupňom nebezpečenstva a 6 bolo klasifikovaných ako problémy s nízkou úrovňou nebezpečenstva. Aj v základni kódu sa našlo 10 problémov, ktoré boli klasifikované ako chyby nesúvisiace so zabezpečením. Vo všeobecnosti sa uvádza, že kód projektu Tor je v súlade s postupmi bezpečného programovania.
Prvá nebezpečná zraniteľnosť bola prítomná v backende distribuovaného systému rdsys, ktorý zabezpečuje poskytovanie zdrojov, ako sú zoznamy proxy a odkazy na stiahnutie cenzúrovaným používateľom. Zraniteľnosť je spôsobená nedostatočnou autentifikáciou pri prístupe k obslužnému programu registrácie zdrojov a umožnila útočníkovi zaregistrovať svoj vlastný škodlivý zdroj na doručenie používateľom. Operácia sa scvrkáva na odoslanie požiadavky HTTP obslužnému programu rdsys.
Druhá nebezpečná chyba zabezpečenia bola nájdená v prehliadači Tor a bola spôsobená nedostatočným overením digitálneho podpisu pri získavaní zoznamu uzlov mosta cez rdsys a BridgeDB. Keďže zoznam sa načítava do prehliadača vo fáze pred pripojením k anonymnej sieti Tor, nedostatočné overenie kryptografického digitálneho podpisu umožnilo útočníkovi nahradiť obsah zoznamu, napríklad zachytením spojenia alebo hacknutím servera. prostredníctvom ktorého je zoznam distribuovaný. V prípade úspešného útoku by útočník mohol zariadiť, aby sa používatelia pripojili cez ich vlastný kompromitovaný uzol mosta.
Stredne závažná zraniteľnosť bola prítomná v podsystéme rdsys v skripte nasadenia zostavy a umožňovala útočníkovi povýšiť svoje privilégiá z používateľa nikto na používateľa rdsys, ak mal prístup k serveru a možnosť zapisovať do adresára s dočasným súbory. Využitie tejto zraniteľnosti zahŕňa nahradenie spustiteľného súboru umiestneného v adresári /tmp. Získanie používateľských práv rdsys umožňuje útočníkovi vykonávať zmeny v spustiteľných súboroch spúšťaných prostredníctvom rdsys.
Slabé miesta s nízkou závažnosťou boli primárne spôsobené používaním zastaraných závislostí, ktoré obsahovali známe zraniteľnosti alebo potenciálom odmietnutia služby. Medzi menšie zraniteľnosti Tor Browser patrí možnosť obísť JavaScript, keď je úroveň zabezpečenia nastavená na najvyššiu úroveň, chýbajúce obmedzenia na sťahovanie súborov a potenciálny únik informácií cez domovskú stránku používateľa, čo umožňuje sledovanie používateľov medzi reštartmi.
Momentálne sú všetky zraniteľnosti opravené, okrem iného bola implementovaná autentifikácia pre všetky rdsys handlery a pridaná kontrola zoznamov načítaných do Tor Browser digitálnym podpisom.
Okrem toho si môžeme všimnúť vydanie prehliadača Tor 13.0.1. Vydanie je synchronizované s kódovou základňou Firefox 115.4.0 ESR, ktorá opravuje 19 zraniteľností (13 sa považuje za nebezpečné). Opravy zraniteľností z Firefoxu vetvy 13.0.1 boli prenesené do Tor Browser 119 pre Android.
Zdroj: opennet.ru