Natychmiast zaktualizuj Firefoksa, by uniknąć wykradającego hasła ataku 0‑day
Jeszcze niedawno Mozilla ogłaszała Flash Playera największymzagrożeniem dla bezpieczeństwa Sieci, domyślnie wyłączyła jegoobsługę w Firefoksie i zachęcała do deinstalacji wtyczki Adobe.Ujawniona w Firefoksie luka 0-day, która już jest wykorzystywanaprzez cyberprzestępców pokazuje, że teraz należałoby uznać zazagrożenie też Firefoksa, domyślnie wyłączając go w systemachoperacyjnych i zachęcać do jego deinstalacji. Tak daleko jednak niepójdziemy, za to zachęcamy Was do jak najszybszego zaktualizowaniatej przeglądarki.
Autor tego newsa, jako użytkownik Firefoksa z upodobaniem doprzeglądania rosyjskojęzycznych stron sam miał okazję napotkaćexploit korzystający z tego 0-day i teraz może tylko pogratulowaćsobie korzystania z rozszerzenia NoScript i uruchamiania przeglądarkiw izolowanym od reszty systemu kontenerze. Atak jest bardzo sprytny –pozwala na niezauważone dla użytkownika wykradnięcie lokalnychplików, co może przynieść katastrofalne skutki.
Lukę jako pierwszy zgłosił Mozilli badacz Cody Crews, niestetynie był on jej pierwszym odkrywcą. W biuletynie bezpieczeństwa2015-78Mozilla wyjaśnia, że atak polega na naruszeniu polityki same-originprzeglądarki, ograniczającej dostęp dla skryptu do danychznajdujących się w innej niż on lokacji w sieci i wstrzyknięciuwrogiego skryptu we wbudowaną wyświetlarkę dokumentów PDF(pdf.js).
Odkrycie to zostało wykorzystane już w rosyjskojęzycznymInternecie. Jeden z popularnych serwisów z newsami wyświetlałreklamy zawierające wrogi kod JS, który po skutecznymwyexploitowaniu Firefoksa przesyłał na serwer znajdujący się naUkrainie wrażliwe pliki. Atak był skierowany zarówno przeciwkoużytkownikom Windows jak i Linuksa. W tym pierwszym wyszukiwałplików konfiguracyjnych klientów svn, s3browsera, komunikatorówPsi i Pidgin oraz FileZilli i kilku innych klientów FTP. Na Linuksiepróbował uzyskać dostęp do /etc/passwd, a następnie przeglądałpliki takie jak .bash_history, .mysql_history, .pgsql_history, kluczei pliki w katalogu .ssh, konfiguracje klienta zdalnego desktopuRemmina, komunikatorów Psi i Pidgin, wszystkie pliki o nazwach passi access oraz dostępne mu skrypty powłoki.
Na Makach atak nie działa, ale tylko dlatego, że napastnicy naMaki nie przygotowali po prostu odpowiedniego ładunku – samapodatność występuje też w wersji Firefoksa dla OS-a X.
Najgorsze jest to, że atak nie zostawia żadnych śladów uofiary. Jeśli korzystaliście w Firefoksie z niepewnych serwisów, zwłączoną na nich obsługą JavaScriptu, niewykluczone że i Waszedane zostały wykradzione. Jedynym obecnie rozwiązaniem jestzaktualizowanie Firefoksa do wersji 39.0.3 (kompilacjadla Windows, kompilacjadla Maka), a jeśli korzystacie z Firefoksa ESR (ExtendedSupport), to do wersji 38.1.Wersja na Androida, pozbawiona pdf.js, nie jest zagrożona tymatakiem. W repozytoriach najpopularniejszych dystrybucji Linuksa nowyFirefox jest już dostępny.
Swoją drogą widać, że integrowanie czytnika PDF zprzeglądarką, bez stworzenia odpowiedniej architektury piaskownicydla rozszerzeń nie było zbyt genialnym pomysłem. Mozilla zrobiłato dlatego, że Google pokazało wcześniej swoją własną binarnąwtyczkę libpdf dla Chrome. Ta jednak, zamknięta w sandboksiewtyczek Pepper, jest znacznie trudniejsza do wyexploitowania odskryptu pdf.js uruchamianego przez Firefoksa. Warto też zwrócićuwagę na to, czego napastnicy szukali – interesowały ich dane zprogramów, które nie szyfrują wrażliwych danych, takich właśniejak Filezilla, która przechowuje w jednym pliku konfiguracyjnymniezaszyfrowane hasła, loginy i nazwy hostów i aż się prosi, byktoś tym plikiem się zainteresował.
