Mozilla corrige un bug de Firefox zero-day utilisé pour attaquer les utilisateurs de Tor

le Navigateur Tor est l'outil de confidentialité le plus utilisé pour naviguer anonymement sur Internet. Le projet Tor a construit le réseau partiellement sur un code source ouvert similaire à une ancienne version de Firefox. Exploitez une vulnérabilité dans cette version de Firefox et vous démasquez les utilisateurs de Tor autrement anonymes. C'est ce qui s'est passé avec Le navigateur populaire de Mozilla cette semaine, et l'organisation n'a pas tardé à déployer une mise à jour qui corrige la vulnérabilité zero-day.

Une liste de diffusion publique du projet Tor a révélé le bogue qui a incité Mozilla à mettre à jour Firefox vers la version 50.0.2. L'équipe du projet Tor a également publié des correctifs pour le navigateur Tor qui le fait passer à la version 6.0.7. Bien que le projet Tor pense que la vulnérabilité n'a affecté que les utilisateurs de Windows, il est également possible que le bogue ait touché les utilisateurs de macOS et Linux comme bien.

La vulnérabilité zero-day a également affecté l'application de messagerie Thunderbird de Mozilla et la version Firefox Extended Support. Daniel Veditz, responsable de l'équipe de sécurité de Mozilla, a écrit dans un article de blog :

L'exploit a profité d'un bogue dans Firefox pour permettre à l'attaquant d'exécuter du code arbitraire sur le système ciblé en faisant charger par la victime une page Web contenant du code JavaScript et SVG malveillant. Il a utilisé cette capacité pour collecter l'adresse IP et MAC du système ciblé et les rapporter à un serveur central.

Une menace sérieuse

Si un attaquant peut inciter un utilisateur à visiter un contenu Web malveillant, il est possible d'exécuter à distance du code arbitraire sur le système en tirant parti de la vulnérabilité.

Les experts en sécurité pensent que l'exploit est similaire à une faille de Firefox utilisée par le FBI en 2003 pour identifier les visiteurs d'un site pédophile. Veditz a écrit que la menace constitue désormais une menace sérieuse pour la vie privée si une agence gouvernementale l'a effectivement construite.

Cette similitude a conduit à la spéculation que cet exploit a été créé par le FBI ou un autre organisme d'application de la loi.

Lire aussi :

• 8 meilleurs logiciels journalistiques pour améliorer votre carrière de journaliste
• 10 meilleurs outils VPN pour Windows 10