Mozilla ได้ประกาศเสร็จสิ้นการตรวจสอบอิสระของซอฟต์แวร์ไคลเอ็นต์สำหรับการเชื่อมต่อกับบริการ Mozilla VPN การตรวจสอบประกอบด้วยการวิเคราะห์แอปพลิเคชันไคลเอนต์แบบสแตนด์อโลนที่เขียนโดยใช้ไลบรารี Qt และพร้อมใช้งานสำหรับ Linux, macOS, Windows, Android และ iOS Mozilla VPN ขับเคลื่อนโดยเซิร์ฟเวอร์มากกว่า 400 เซิร์ฟเวอร์ของ Mullvad ผู้ให้บริการ VPN ของสวีเดน ซึ่งตั้งอยู่ในมากกว่า 30 ประเทศ การเชื่อมต่อกับบริการ VPN ทำได้โดยใช้โปรโตคอล WireGuard
การตรวจสอบดำเนินการโดย Cure53 ซึ่งครั้งหนึ่งเคยตรวจสอบโครงการ NTPsec, SecureDrop, Cryptocat, F-Droid และ Dovecot การตรวจสอบครอบคลุมการตรวจสอบซอร์สโค้ดและรวมการทดสอบเพื่อระบุช่องโหว่ที่เป็นไปได้ (ไม่พิจารณาปัญหาที่เกี่ยวข้องกับการเข้ารหัส) ในระหว่างการตรวจสอบ พบประเด็นด้านความปลอดภัย 16 ประเด็น โดย 8 ประเด็นเป็นข้อเสนอแนะ 5 ประเด็นได้รับมอบหมายให้อยู่ในระดับอันตรายต่ำ XNUMX ประเด็นได้รับมอบหมายให้อยู่ในระดับปานกลาง และอีก XNUMX ประเด็นได้รับมอบหมายให้เป็นอันตรายในระดับสูง
อย่างไรก็ตาม มีเพียงปัญหาเดียวที่มีระดับความรุนแรงปานกลางเท่านั้นที่ถูกจัดว่าเป็นช่องโหว่ เนื่องจากเป็นปัญหาเดียวที่สามารถใช้ประโยชน์ได้ ปัญหานี้ส่งผลให้ข้อมูลการใช้งาน VPN รั่วไหลในโค้ดการตรวจจับพอร์ทัลแบบ Captive เนื่องจากมีคำขอ HTTP โดยตรงที่ไม่ได้เข้ารหัสซึ่งส่งไปนอกอุโมงค์ VPN ซึ่งเปิดเผยที่อยู่ IP หลักของผู้ใช้หากผู้โจมตีสามารถควบคุมการรับส่งข้อมูลการขนส่งสาธารณะได้ ปัญหาได้รับการแก้ไขโดยการปิดใช้งานโหมดการตรวจจับพอร์ทัลแบบเชลยในการตั้งค่า
ปัญหาที่สองของความรุนแรงปานกลางเกี่ยวข้องกับการขาดการทำความสะอาดค่าที่ไม่ใช่ตัวเลขในหมายเลขพอร์ตอย่างเหมาะสม ซึ่งทำให้เกิดการรั่วไหลของพารามิเตอร์การตรวจสอบสิทธิ์ OAuth โดยการแทนที่หมายเลขพอร์ตด้วยสตริงเช่น “[ป้องกันอีเมล]"ซึ่งจะนำไปสู่การติดตั้งแท็ก[ป้องกันอีเมล]/?code=..." alt=""> เข้าถึง example.com แทน 127.0.0.1
ปัญหาที่สามซึ่งถูกระบุว่าเป็นอันตราย อนุญาตให้แอปพลิเคชันในเครื่องใดๆ ที่ไม่มีการตรวจสอบสิทธิ์เข้าถึงไคลเอนต์ VPN ผ่านทาง WebSocket ที่เชื่อมโยงกับ localhost ตามตัวอย่าง จะแสดงให้เห็นว่าด้วยไคลเอนต์ VPN ที่ใช้งานอยู่ ไซต์ใดๆ สามารถจัดระเบียบการสร้างและส่งภาพหน้าจอโดยการสร้างเหตุการณ์ screen_capture ปัญหาไม่ได้จัดว่าเป็นช่องโหว่ เนื่องจาก WebSocket ถูกใช้เฉพาะในรุ่นทดสอบภายในเท่านั้น และการใช้ช่องทางการสื่อสารนี้ได้รับการวางแผนไว้ในอนาคตเพื่อจัดระเบียบการโต้ตอบกับส่วนเสริมของเบราว์เซอร์เท่านั้น
ที่มา: opennet.ru