Utvecklarna av det anonyma nÀtverket Tor har publicerat resultaten av en revision av Tor Browser och de verktyg som utvecklas av projektet, inklusive OONI Probe, rdsys, BridgeDB och Conjure, som anvÀnds för att kringgÄ censur. Revisionen utfördes av företaget Cure53 frÄn november 2022 till april 2023.
Under granskningen identifierades 9 sÄrbarheter, varav tvÄ klassificerades som farliga, en fick ett medelhögt riskvÀrde och 6 klassades som problem med lÄg risk. Dessutom hittades 10 problem i kodbasen som klassificerades som icke-sÀkerhetsrelaterade brister. Sammanfattningsvis bedömdes Tor-projektets kod som förenlig med metoder för sÀker programmering.
Den första farliga sÄrbarheten fanns i backend av det distribuerade systemet rdsys, som ansvarar för att leverera resurser till censurerade anvÀndare, som proxylistor och nedladdningslÀnkar. SÄrbarheten orsakas av avsaknaden av autentisering vid anrop av resursregistreringshanteraren, vilket tillÀt en angripare att registrera sin egen skadliga resurs för att leverera till anvÀndarna. Utnyttjande av detta innebÀr att skicka en HTTP-begÀran till rdsys-hanteraren.
Den andra farliga sÄrbarheten hittades i Tor Browser och orsakades av bristande verifiering av digital signatur vid hÀmtning av listan över brottoch frÄn rdsys och BridgeDB. Eftersom listan laddas ner till webblÀsaren innan anslutning till det anonyma Tor-nÀtverket, gjorde bristen pÄ kontroll av den kryptografiska digitala signaturen det möjligt för en angripare att manipulera innehÄllet i listan, till exempel genom att avlyssna anslutningen eller hacka servern, över vilken listan distribueras. Vid en lyckad attack kunde angriparen upprÀtta anslutningar för anvÀndarna via sin egen komprometterade bro.
En sÄrbarhet med medelhög risk fanns i rdsys underhÄllsskriptet som tillÀt en angripare att höja sina privilegier frÄn anvÀndaren nobody till anvÀndaren rdsys, om det fanns tillgÄng till servern och möjlighet att skriva till katalogen för temporÀra filer. Utnyttjande av sÄrbarheten bestÄr av att byta ut den exekverbara filen som placeras i katalogen /tmp. Att erhÄlla rÀttigheter som rdsys-anvÀndare tillÄter angriparen att göra Àndringar i de exekverbara filer som körs genom rdsys.
LÄggradiga sÄrbarheter var frÀmst kopplade till anvÀndning av förÄldrade beroenden med kÀnda sÄrbarheter eller möjlighet till en denial of service-attack. FrÄn de mindre sÄrbarheterna i Tor Browser kan man notera möjligheten att kringgÄ JavaScript-utförandeförbudet vid högsta skyddsnivÄ, bristen pÄ begrÀnsningar för filuppladdningar och potentiell informationslÀckage genom anvÀndarens startsida, vilket gör det möjligt att spÄra anvÀndare mellan omstarter.
Alla sÄrbarheter har nu ÄtgÀrdats, och bland annat har autentisering implementerats för alla rdsys-behandlare och kontroller för de signerade listorna som laddas in i Tor Browser har lagts till.
Dessutom kan man notera lanseringen av Tor Browser 13.0.1. UtslÀppet Àr synkroniserat med kodbasen för Firefox 115.4.0 ESR, vilken ÄtgÀrdat 19 sÄrbarheter (13 erkÀnda som farliga). Korrigeringar av sÄrbarheter frÄn Firefox 119 har överförts till Tor Browser 13.0.1 för Android.
KĂ€lla: opennet.ru
