Mozilla corrige un error de día cero en Firefox utilizado para atacar a usuarios de Tor

Software periodístico-Navegador Tor El navegador Tor es la herramienta de privacidad más utilizada para navegar por Internet de forma anónima. El Proyecto Tor construyó la red parcialmente sobre código abierto similar a una versión antigua de Firefox. Explota una vulnerabilidad en esa versión de Firefox y desmascara a los usuarios anónimos de Tor. Eso es lo que sucedió con el popular navegador de Mozilla esta semana, y la organización fue rápida en lanzar una actualización que corrige la vulnerabilidad de día cero.

Una lista de correo pública del Proyecto Tor reveló el error que llevó a Mozilla a actualizar Firefox a la versión 50.0.2. El equipo del Proyecto Tor también emitió parches para el navegador Tor que ahora lo actualiza a la versión 6.0.7. Mientras que el Proyecto Tor cree que la vulnerabilidad solo ha afectado a los usuarios de Windows, también es posible que el error haya afectado a usuarios de macOS y Linux.

La vulnerabilidad de día cero también afectó a la aplicación de correo electrónico Thunderbird de Mozilla y a la versión de soporte extendido de Firefox. Daniel Veditz, líder del equipo de seguridad de Mozilla, escribió en una publicación de blog:

La explotación aprovechó un error en Firefox para permitir que el atacante ejecutara código arbitrario en el sistema objetivo haciendo que la víctima cargara una página web que contenía código JavaScript y SVG malicioso. Utilizó esta capacidad para recopilar la dirección IP y MAC del sistema objetivo y reportarlas a un servidor central.

Una amenaza seria

Si un atacante puede atraer a un usuario a visitar un contenido web malicioso, es posible ejecutar remotamente código arbitrario en el sistema aprovechando la vulnerabilidad.

Los expertos en seguridad creen que la explotación es similar a un fallo de Firefox que el FBI utilizó en 2003 para identificar a los visitantes de un sitio de abuso infantil. Veditz escribió que la amenaza ahora representa un serio peligro para la privacidad si una agencia gubernamental realmente lo construyó.