Известный «брокер уязвимостей», компания Zerodium, обнародовала информацию о проблеме в Tor Browser прямо в своем официальном Twitter, после того как браузер обновился, и уязвимость стала менее критичной (а также потеряла свою ценность).
Advisory: Tor Browser 7.x has a serious vuln/bugdoor leading to full bypass of Tor / NoScript 'Safest' security level (supposed to block all JS).
PoC: Set the Content-Type of your html/js page to "text/html;/json" and enjoy full JS pwnage. Newly released Tor 8.x is Not affected.— Zerodium (@Zerodium) September 10, 2018
В сообщении эксперты Zerodium пишут, что уязвимость позволяет обойти самый безопасный режим работы дополнения NoScript, подразумевающий блокировку всего JavaScript-контента. Данное дополнение по умолчанию распространяется вместе с Tor Browser и позволяет пользователю разрешать или запрещать работу JavaScript, Flash, Java, Silverlight.
Фактически, предложенная специалистами атака позволяет выполнить в Tor Browser 7.x произвольный код, обманув NoScript и блокировку скриптов. Рассказать об уязвимости публично исследователи решили из-за того, что на прошлой неделе в свет был выпущен Tor Browser 8.х, который проблеме уже не подвержен. Дело в том, что новая версия браузера работает с Firefox Quantum и использует новый API для дополнений, а разработчик NoScript Джорджио Маоне (Georgio Maone) еще в конце прошлого года переработал свое решение под новый формат.
После публикации твита Zerodium, журналисты издания ZDNet связались с Маоне, и тот рассказал, что впервые услышал о 0-day баге от самих журналистов. Разработчик пообещал срочно выпустить патч и уточнил, что уязвимость распространяется только на NoScript 5 Classic (уязвимость появилась в версии NoScript 5.0.4, вышедшей в мае 2017 года), но не затрагивает NoScript 10 Quantum или Tor Browser 8.
Notice: is a NoScript 5 "Classic" only bug: it doesn't affect neither NoScript 10 "Quantum" nor the Tor Browser 8. I'm testing a patch right in this moment. /cc @torproject
— Giorgio Maone (@ma1) September 10, 2018
В настоящее время Маоне уже сдержал свое обещание, подготовив и опубликовав патч: версия NoScript Classic 5.1.8.7 безопасна.
Глава Zerodium Чауки Бекрар (Chaouki Bekrar), в свою очередь, сообщил ZDNet, что информация об этой уязвимости и эксплоит для нее были приобретены компанией много месяцев назад, в рамках тематической программы по покупке эксплоитов для Tor Browser, проведенной еще осенью 2017 года. Также Бекрар не стал скрывать, что Zerodium давно поделилась этой информацией со своими правительственными заказчиками.
Напомню, что бизнес модель Zerodium (из-за которой компания неоднократно подвергалась жесткой критике) такова, что компания сохраняет информацию о найденных самостоятельно и купленных у третьих лиц 0-day в тайне, при этом перепродавая их крупным компаниям, правительственным организациям и силовым структурам.
Раскрыть информацию о проблеме публично в Zerodium действительно решили после выхода Tor Browser 8, так как «срок жизни» эксплоита уже все равно почти подошел к концу.
