Descoberta vulnerabilidade Zero Day no navegador Tor

O navegador Tor é indispensável para qualquer usuário que queira navegar pela Deep Web. Este navegador, entre outras coisas, permite que você esconda a sua identidade saltando sua conexão de um servidor para outro, tornando-o (de certa forma) impossível de localizar. No entanto, a tecnologia não é perfeita e pode falhar quando você menos espera. Assim, recentemente, foi descoberta vulnerabilidade Zero Day no navegador Tor.

A Zerodium, uma plataforma para a compra e venda de exploits e vulnerabilidades, publicou em seu perfil no Twitter que detectou uma vulnerabilidade Zero Day no navegador Tor. Então, isso permite que as medidas de proteção sejam ignoradas através de um backdoor, o que permitiria execução de código malicioso remotamente.

Ignorando medidas de proteção Tor para executar código malicioso

De acordo com Zerodium, esta vulnerabilidade foi detectada na versão 7 do navegador Tor, embora tenha sido corrigida na versão 8 . Essa falha de segurança permite executar códigos maliciosos mesmo quando a extensão NoScript, que bloqueia a execução do código JavaScript, é ativada. Para fazer isso, basta configurar o “Content-Type” de uma web como “text / html; / json”. Esta exploração não faz nada em si , já que deve estar ligada a outras explorações que se encarregam de tirar proveito dela, mas Zerodium a descreve como uma “falha séria”.

Aparentemente, a empresa está ciente dessa vulnerabilidade há alguns meses. 

Porém, não a revelou porque, afinal, ganhar dinheiro desta forma é o modelo de negócios deles. Assim, em uma entrevista para o site ZDNet , eles confirmam as razões. Da mesma forma, eles reconhecem que o revelaram para “conscientizar sobre a falta (ou inadequação) de auditorias de segurança dos principais componentes do navegador Tor”.

O usuário @x0rz, pesquisador de segurança, publicou em seu perfil um vídeo (acima) de apenas 20 segundos. Nele, é mostrado como é fácil tirar vantagem dessa vulnerabilidade. Por outro lado, o desenvolvedor da extensão NoScript confirmou ter lançado um patch compatível com o Tor Browser 7. Ele pode ser baixado agora.

Fonte