Det Tor browser er det mest anvendte fortrolighedsværktøj til at surfe anonymt på Internettet. Tor-projektet byggede netværket delvist på open source-kode svarende til en gammel version af Firefox. Udnyt en sårbarhed i den Firefox-version, og du afmasker de ellers anonyme Tor-brugere. Det er, hvad der skete med Mozillas populære browser denne uge, og organisationen var hurtig til at udrulle en opdatering, der løser nul-dags sårbarheden.
En offentlig Tor Project-mailingliste afslørede fejlen, som fik Mozilla til at opdatere Firefox til version 50.0.2. Tor Project-teamet udstedte også patches til Tor-browseren, der nu støder det op til version 6.0.7. Mens Tor-projektet mener, at sårbarheden kun har påvirket Windows-brugerne, er det også muligt, at fejlen har ramt macOS- og Linux-brugere som godt.
Nul-dags sårbarheden påvirkede også Mozillas Thunderbird-e-mail-applikation og frigivelsesversionen af Firefox Extended Support. Daniel Veditz, Mozillas sikkerhedsteamleder, skrev i et blogindlæg:
Udnyttelsen udnyttede en fejl i Firefox for at give angriberen mulighed for at udføre vilkårlig kode på det målrettede system ved at lade offeret indlæse en webside, der indeholder ondsindet JavaScript og SVG-kode. Det brugte denne evne til at indsamle IP- og MAC-adressen på det målrettede system og rapportere dem tilbage til en central server.
En alvorlig trussel
Hvis en hacker kan lokke en bruger til at besøge et ondsindet webindhold, er det muligt at eksternt udføre vilkårlig kode på systemet ved at udnytte sårbarheden.
Sikkerhedseksperter mener, at udnyttelsen ligner en Firefox-fejl, som FBI brugte i 2003 til at identificere besøgende på et websted, der misbruger børn. Veditz skrev, at truslen nu udgør en alvorlig trussel mod privatlivets fred, hvis et regeringsorgan faktisk byggede det.
Denne lighed har ført til spekulationer om, at denne udnyttelse blev skabt af FBI eller et andet retshåndhævende organ.
Læs også:
- 8 bedste journalistiske software til at forbedre din journalistiske karriere
- 10 bedste VPN-værktøjer til Windows 10
