Недавно Mozilla и Тор выпустила патчи для браузера Firefox, а также браузер, основанный на Firefox Tor с целью блокировать недавнее нападение. Это нападение использовал в Firefox анимация удаленное выполнение кода Уязвимость для демаскировать пользователи сети анонимность сети Tor.
Этой уязвимости, которые не являются публично известными, по всей вероятности, еще среди уязвимостей нулевого дня и использует FireFox или браузер Tor, чтобы загрузить веб-страницу, содержащую вредоносный JavaScript и SVG (Масштабируемая векторная графика) код. Следовательно, это приводит к зачерпнув реальный IP-адрес и MAC-адрес системы Windows, которая затем отправляется на Центральный сервер.
Хотя видно, что полезная нагрузка работает против систем Windows, запустите браузер Firefox и браузер Тор, там были также сообщения о уязвимости, которой нет на Firefox для Mac OS и Linux, и, следовательно, пользователям оперативно обновить свои браузеры на этих платформах.
Релиз от Mozilla описывает Уязвимость в кратце- “использование после освобождения в SVG анимации был обнаружен. Эксплуатировать построенные на этой уязвимости был обнаружен в дикой природе таргетинга Firefox и Tor-браузер, пользователи Windows”. Релиз Мозиллы, от 30 ноября, стоимость ее как критическую и говорит, что это исправлено в версии Firefox 50.0.2, в Firefox выпуск с расширенной поддержкой версии 45.5.1 и Mozilla почтовом клиенте Thunderbird версии 45.5.1.
Релиз Тор, от 30 ноября, государства- “браузер Тор 6.0.7 теперь доступна на странице проекта Тор-браузер, а также из нашего каталога рассылки. Этот релиз включает в себя важное Обновление безопасности для Firefox и содержит, в дополнение к этому, обновление тега noscript (2.9.5.2).
Недостаток безопасности отвечает за это срочный выпуск уже активно эксплуатируется на ОС Windows. Хотя в настоящее время существует, к самое лучшее нашего знания, не похожие эксплуатировать для OS X или Linux пользователей доступна базовая ошибка затрагивает также те платформ. Таким образом, мы настоятельно рекомендуем всем пользователям установить обновление сразу в браузере Тор. Перезапуск требуется для того, чтобы вступили в силу”.
Mozilla по безопасности приведет, Дэниел Veditz рассматривается другой аспект уязвимости нулевого дня в посте сделаны в Mozilla блог по безопасности. Он говорит- “подвиг в этом случае работает в основном таким же образом, как и “метод расследования” сети, используемые ФБР deanonymize пользователей Tor (как ФБР описал его под присягой). Это сходство привело к предположению, что этот эксплойт был создан ФБР или другой правоохранительный орган. Как сейчас, мы не знаем, так ли это. Если этот подвиг был фактически разработан и развернут правительство агентство, тот факт, что оно было опубликовано, и теперь можно использовать для атаки Firefox пользователей наглядно демонстрирует, как якобы ограниченное правительство взлома может стать угрозой для широкой сети”.
