A Mozilla corrigiu um bug que pode ser usado para sequestrar todos os navegadores Firefox para Android na mesma rede WiFi e forçar os usuários a acessar sites maliciosos, como páginas de phishing. O bug foi descoberto por Chris Moberly, um pesquisador de segurança australiano que trabalha para o GitLab.
A vulnerabilidade real reside no componente SSDP do Firefox. SSDP significa Simple Service Discovery Protocol. É o mecanismo pelo qual o Firefox encontra outros dispositivos na mesma rede para compartilhar ou receber conteúdo (por exemplo, compartilhar streams de vídeo com um dispositivo Roku).
Quando os dispositivos são encontrados, o componente SSDP do Firefox obtém a localização de um arquivo XML onde a configuração do dispositivo está armazenada.
No entanto, Moberly descobriu que em versões anteriores do Firefox, você poderia ocultar comandos de “intenção” do Android neste XML e fazer o navegador Firefox executar um comando regular, como dizer ao Firefox para acessar um link.
Bug do Firefox permite sequestrar navegadores móveis próximos via WiFi
Para entender melhor como esse bug pode ser transformado em arma, imagine um cenário em que um hacker entra em um aeroporto ou shopping, se conecta à rede WiFi e, em seguida, inicia um script em seu laptop que envia spams à rede com pacotes SSDP.
Qualquer proprietário de Android usando um navegador Firefox durante esse tipo de ataque teria seu navegador móvel sequestrado e levado a um site malicioso, ou forçado a instalar uma extensão maliciosa do Firefox.
Outro cenário é se um invasor tiver como alvo roteadores WiFi vulneráveis. Os invasores podem aproveitar os exploits para assumir roteadores desatualizados e, em seguida, enviar spam para a rede interna de uma empresa e forçar os funcionários a se autenticar novamente em páginas de phishing.
Atualização imediata
No início desta semana, o Moberly publicou um código de prova de conceito que pode ser usado para realizar tais ataques. Abaixo estão dois vídeos de Moberly e um pesquisador de segurança da ESET demonstrando ataques.
Found a neat little Firefox for Android bug. Current version is not vulnerable, please make sure you are up to date. 🙂 https://t.co/p31XPGBsze pic.twitter.com/coG3tcMiAI
— initstring (@init_string) September 15, 2020
Exploitation of LAN vulnerability found in Firefox for Android
I tested this PoC exploit on 3 devices on same wifi, it worked pretty well.
I was able to open custom URL on every smartphone using vulnerable Firefox (68.11.0 and below) found by @init_string https://t.co/c7EbEaZ6Yx pic.twitter.com/lbQA4qPehq— Lukas Stefanko (@LukasStefanko) September 18, 2020
Moberly disse que relatou o bug à Mozilla no início deste verão.
O Firefox 79 corrigiu o bug. Entretanto, muitos usuários podem não estar executando a versão mais recente. O Firefox para versões desktop não teve problemas. Porém, por segurança, atualize o navegador no Android o mais rápido possível.
