Grave falla in Firefox e Tor browser

C'è una falla in Firefox che consente a un server di spacciarsi per uno dei server di Mozilla usando un certificato falso.

I primi a scoprirla sono stati gli sviluppatori di Tor, che ne hanno dato notizia e hanno provveduto immediatamente ad aggiornare il Tor browser. Firefox, però, risulta ancora vulnerabile.

Per riuscire a sfruttare la falla occorre trovarsi nella posizione di man-in-the-middle, ossia interporsi tra il computer vittima e il server web.

A quel punto, tramite un certificato falsificato si può fingere di essere uno dei server di Mozilla: Firefox, credendo di trovarsi a comunicare con una macchina conosciuta, accetterà qualunque aggiornamento gli venga proposto per le proprie estensioni.

In questo modo è possibile che un'estensione del tutto innocua venga sostituita da una sua versione modificata con del codice malevolo, senza che l'utente si accorga di alcunché.

Con il software e le conoscenze adatte un hacker può quindi essere in grado di violare il browser e il computer dell'utente.

Sebbene sfruttare la vulnerabilità non sia un'operazione banale, Tor consiglia tutti gli utenti del Tor browser di aggiornare l'applicazione al più presto, e Mozilla si prepara a fare lo stesso: una versione di Firefox completa di patch sarà pronta per il 20 settembre.