Украинцы и/или россияне заставили Firefox выпустить срочное обновление браузера. 5 августа в Mozilla получили информацию, что на одном из российских новостных сайтов размещены рекламные баннеры, через которые распространяется эксплойт для Firefox. Зловред ищет специфические файлы на компьютере пользователя и отправляет их на украинский сервер.
В связи с этим Mozilla срочно выпустила обновления безопасности, которые устраняют данную уязвимость. Всем пользователям стабильного канала Firefox нужно срочно обновиться до версии Firefox 39.0.3. Обновление выпущено также для версии с долговременной поддержкой Firefox ESR 38.1.1.
Представители Mozilla объясняют, что уязвимость связана с некорректным взаимодействием PDF Viewer и механизма разделения контекста JavaScript (same origin policy). Соответственно, в тех версиях браузера Firefox, в которых отсутствует PDF Viewer, нет бага. Например, в Firefox под Android.
Уязвимость не дает возможность выполнить произвольный код, но JavaScript внедряется в контекст локального файла, что позволяет искать на компьютере жертвы произвольные файлы и считывать их.
Вызывает удивление список файлов, которые были интересны злоумышленникам. Под Windows осуществлялся поиск конфигурационных файлов subversion, s3browser и Filezilla, информации об учетных записях .purple и Psi+, а также конфигурационных файлов от восьми популярных FTP-клиентов. Под Linux и Mac OS копируются глобальные конфигурационные файлы /etc/passwd, сканируются все пользовательские директории, к которым есть доступ. Зловред ищет файлы .bash_history, .mysql_history, .pgsql_history, конфигурационные файлы и ключи .ssh, конфигурационные файлы для remina, Filezilla и Psi+, текстовые файлы со словами “pass” и “access” в названии, а также любые shell-скрипты.
Эксплойт не оставляет никаких следов на компьютере жертвы.
Судя по всему, эксплойт нацелен против разработчиков. Можно предположить, что он распространялся через новостной сайт компьютерной тематики. В любом случае, браузеры с установленными блокировщиками рекламы, скорее всего, защищены от заразы.
Фото: @krkdesigns
