Mozilla risolve un bug zero-day di Firefox utilizzato per attaccare gli utenti di Tor

Software giornalistico-Tor Browser Il browser Tor è lo strumento di privacy più utilizzato per navigare in Internet in modo anonimo. Il Tor Project ha costruito la rete parzialmente su codice open source simile a una vecchia versione di Firefox. Sfrutta una vulnerabilità in quella versione di Firefox e sveli gli utenti di Tor altrimenti anonimi. Questo è ciò che è successo con il popolare browser di Mozilla questa settimana, e l’organizzazione è stata rapida a rilasciare un aggiornamento che risolve la vulnerabilità zero-day.

Una mailing list pubblica del Tor Project ha rivelato il bug che ha spinto Mozilla ad aggiornare Firefox alla versione 50.0.2. Il team del Tor Project ha anche emesso patch per il browser Tor che ora lo porta alla versione 6.0.7. Sebbene il Tor Project creda che la vulnerabilità abbia colpito solo gli utenti Windows, è anche possibile che il bug abbia colpito anche gli utenti macOS e Linux.

La vulnerabilità zero-day ha colpito anche l’applicazione di posta elettronica Thunderbird di Mozilla e la versione di supporto esteso di Firefox. Daniel Veditz, responsabile del team di sicurezza di Mozilla, ha scritto in un post sul blog:

Lo sfruttamento ha approfittato di un bug in Firefox per consentire all’attaccante di eseguire codice arbitrario sul sistema target facendo caricare alla vittima una pagina web contenente codice JavaScript e SVG malevolo. Ha utilizzato questa capacità per raccogliere l’indirizzo IP e MAC del sistema target e riportarli a un server centrale.

Una minaccia seria

Se un attaccante può indurre un utente a visitare contenuti web malevoli, è possibile eseguire codice arbitrario sul sistema da remoto sfruttando la vulnerabilità.

Gli esperti di sicurezza credono che lo sfruttamento sia simile a un difetto di Firefox che l’FBI ha utilizzato nel 2003 per identificare i visitatori di un sito di abuso infantile. Veditz ha scritto che la minaccia ora rappresenta una seria minaccia per la privacy se un’agenzia governativa l’ha effettivamente costruita.