Una falla zero day sta colpendo gli utenti di Firefox e di TOR Browser, che su Firefox è basato.

Il bug è stato svelato inizialmente in una delle mailing list del progetto TOR, e al momento in cui scriviamo lo staff di Mozilla è al lavoro per creare rapidamente una patch.

Il codice JavaScript necessario per sfruttare la falla, analizzato dagli esperti di sicurezza, ha rivelato come il problema risieda in una vulnerabilità che causa la corruzione della memoria: il risultato è la possibilità di eseguire codice arbitrario sui computer con Windows.

Le versioni vulnerabili di Firefox vanno dalla 41 alla 50: il codice dell'exploit è in grado di adattarsi in base alla versione, segno - come spiega il ricercatore Joshua Yabut - che i suoi sviluppatori hanno seguito un'accurata fase di testing prima di diffondere l'attacco.

Finché non arriverà una patch, gli utenti di Firefox possono difendersi utilizzando un altro browser oppure, se ciò non è possibile, almeno disattivando JavaScript.

Per quanto riguarda TOR Browser, che è basato sulla versione 45 di Firefox, il problema è in parte ridimensionato dal fatto che l'utilizzo di JavaScript viene regolato tramite NoScript.

Tuttavia, per consentire agli utenti di utilizzare pienamente i siti web visitati, JavaScript non viene totalmente disabilitato da TOR Browser: pertanto, anche gli utenti di questo software sono a rischio.

Se poi ha ragione il ricercatore indipendente TheWack0lian, il codice eseguito quando viene sfruttata la falla in Firefox è sostanzialmente identico a quello usato nel 2013 dall'FBI (che in seguito ne ha riconosciuto la paternità) per individuare i visitatori di un sito pedopornografico, i quali usavano TOR Browser per nascondere la propria identità.

«La maggior parte del codice è identico» scriva TheWack0lian. «Soltanto poche parti sono cambiate».

Ciò sembra indicare che tra gli scopi di chi sta diffondendo l'exploit c'è lo smascheramento degli utenti di TOR: questi, se tengono al proprio anonimato, dovranno stare particolarmente attenti almeno fino all'arrivo della patch.