Resultaten av granskningen av Mozilla VPN-klienten har publicerats

Mozilla har tillkännagett att de har avslutat en oberoende revision av klientprogramvaran för att ansluta till tjänsten Mozilla VPN. Under revisionen genomfördes en analys av det fristående klientprogrammet, skrivet med Qt-biblioteket och tillgängligt för Linux, macOS, Windows, Android och iOS. Mozilla VPN drivs av mer än 400 servrar från den svenska VPN-leverantören Mullvad, som är placerade i över 30 länder. Anslutningen till VPN-tjänsten görs med hjälp av WireGuard-protokollet.

Revisionen genomfördes av Cure53, som tidigare har utfört revisioner av projekten NTPsec, SecureDrop, Cryptocat, F-Droid och Dovecot. Revisionen omfattade en granskning av källkoden och inkluderade tester för att identifiera potentiella sårbarheter (frågor relaterade till kryptografi beaktades inte). Under granskningen upptäcktes 16 säkerhetsproblem, varav 8 gavs som rekommendationer, 5 tilldelades låg risk, 2 medelrisk och 1 hög risk.

Endast ett problem med medelhög risk klassades som en sårbarhet, eftersom detta enda var exploaterbart. Det aktuella problemet ledde till läckage av information om användningen av VPN i koden för att identifiera ett captive portal på grund av okrypterade, direkta HTTP-förfrågningar som sändes utanför VPN-tunneln och exponerade användarens huvud-IP-adress om en angripare kan kontrollera transiterings-trafiken. Problemet löses genom att stänga av läget för att identifiera captive portal i inställningarna.

Det andra problemet av medelhög risk är kopplat till bristen på korrekt rengöring av icke-numeriska värden i portnumret, vilket möjliggör läckage av OAuth-autentiseringsparametrar genom att ersätta portnumret med en sträng som "1234@example.com", vilket leder till att taggen installeras <img src="»http://127.0.0.1:1234@example.com/?code=…»" alt="»»">, som hänvisar till example.com istället för 127.0.0.1.

Det tredje problemet, som markerades som farligt, tillåter vilken lokal applikation som helst att oauktoriserat komma åt VPN-klienten via WebSocket, kopplad till localhost. Som exempel visades hur, med en aktiv VPN-klient, vilken webbplats som helst skulle kunna skapa och skicka en skärmdump genom att generera händelsen screen_capture. Problemet klassades inte som en sårbarhet eftersom WebSocket endast användes i interna testversioner och användningen av denna kommunikationskanal planerades för framtiden för att möjliggöra interaktion med ett webbläsartillägg.

Källa: opennet.ru