Forum Debian Users Gang

Jacekalex · 2016-04-07 00:13:52

Krotko pisząc, mała wtopa, której raczej nie da się prosto i szybko usunąć, bez przeprojektowania silnika przeglądarki.

http://arstechnica.com/security/2016/04/noscript-and-other-popular-firefox-add-ons-open-millions-to-new-attack/

Ostatnio edytowany przez Jacekalex (2016-04-07 03:52:37)

uzytkownikubunt · 2016-04-07 07:54:36

2922

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:38:55)

ethanak · 2016-04-07 10:06:56

Nie wiem czy nie tak źle. Bez NoScripta jakoś żyję, ale bez Firebuga bywa ciężko.
Ciekawe, czy WebDeveloper też ma takie przypadłości?

pink · 2016-04-07 11:23:30

no chyba mialem nosa bo obecnie uzywam tylko ublocka, i what`s the tide

hi · 2016-04-07 14:20:49

kurczę nie widzi mi się zmiana przeglądarki, noscripta tez używam
[b]Jacekalex[/b] a profil apparmora nałożony na ff jakoś go chromi przed takimi babolami?

Ostatnio edytowany przez hi (2016-04-07 14:21:06)

uzytkownikubunt · 2016-04-07 15:07:45

2924

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:38:58)

Jacekalex · 2016-04-07 18:07:23

[quote=hi]kurczę nie widzi mi się zmiana przeglądarki, noscripta tez używam
[b]Jacekalex[/b] a profil apparmora nałożony na ff jakoś go chromi przed takimi babolami?[/quote]
AA chroni system i Twoje pliki przed potencjalnie groźnym programem, a nie sam program.
W przypadku samego programu AA np powstrzyma go przed eskalacją uprawnień poprzez np pobranie z netu i odpalenie z cache jakiejś binarki z bitem SUID.
W ten sposób całkowicie masz z głowy np bardzo popularną dziurę z Windowsa.
https://niebezpiecznik.pl/post/dziura-w-windows-dll-exe-binary-planting/

[quote=uzytkownikubunt][quote=ethanak]Nie wiem czy nie tak źle. Bez NoScripta jakoś żyję, ale bez Firebuga bywa ciężko.
Ciekawe, czy WebDeveloper też ma takie przypadłości?[/quote]
Podatne rozszerzenie to nie to samo złośliwe.
Do bycia ofiarą ataku potrzebny jest:
1. Firefox
2. Posiadanie podatnego rozszerzenia
3. Posiadanie złośliwego rozszerzenia.

Innowacją w tym ataku jest jego ukrycie. Zdecydowanie trudniej wykryć takie złośliwe rozszerzenie antywirusom i heurystyce, której są poddawane podczas dołączania do http://addons.mozilla.org/[/quote]
Radzę nie zapominać, ze atak można przeprowadzić przy pomocy czystego JS, wykorzystując podatność Noscripta czy innego JSblockera.
I to nie rozszerzenia są winne, błąd jest w architekturze programu, w libXUL.so

Firefox (i inne przeglądarki też), zaczynają przypominać maszyny wirtualne, które w brzuchu mają osobny system operacyjny do odpalania różnych skryptów (przy okazji u mnie FF czy Chrome często waży więcej, niż maszyna KVM z Debkiem albo BSD :P ).
Dlatego powinny wewnątrz silnika mieć taką kontrolę uprawnień, jaką na poziomie Linuxa zapewnia Kernel i Glibc.

Cały problem jest w braku kontroli uprawnień dla rozszerzeń wewnątrz Firefoxa, i np wszystkie mogą odczytać hasła zapisane w przeglądarce,
albo modyfikować interfejs.

Na szczęście Mozilla właśnie przepisuje silnik Firefoxa, mają być karty w osobnych procesach, mają być rozszerzenia wspólne z Chrome czy Operą,
także jest okazja poprawić wszystkie niedoskonałości.

Ostatnio edytowany przez Jacekalex (2016-04-07 18:54:04)

uzytkownikubunt · 2016-04-07 18:19:25

2926

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:39:01)

ethanak · 2016-04-07 18:21:36

no i co się stanie z rozszerzeniami, które muszą mieć dostęp do całej przeglądarki?

Jacekalex · 2016-04-07 18:57:07

[quote=ethanak]no i co się stanie z rozszerzeniami, które muszą mieć dostęp do całej przeglądarki?[/quote]
Nigdy nie muszą mieć do całej, np Colorzilla raczej dostępu do haseł czy certyfikatów SSL nie potrzebuje, noscript też nie.

Każde rozszerzenie wykonuje jakieś specjalizowane akcje, które przeważnie nie ogarnia całej przeglądarki, bo i po co.

ethanak · 2016-04-07 19:14:48

np. po to, aby mieć dostęp do całości?
świat się nie kończy na colorzilli... manager zakładek potrzebuje (ciekawostka) dostępu do zakładek. świętej pamięci firevox (a także dzisiejsze przeglądarkowe tts-y) potrzebują albo sapi pod windowsem, albo możliwości uruchomienia zewnętrznej aplikacji pod linuksem... ogólnie tego, co ma dostęp do czegoś co jest poza kontrolą przeglądarki.
i firefox nie jest tu osamotniony - jeśli używasz chromevoxa to odpowiednio spreparowana strona może mieć pełny dostęp do twojego syntezatora...
mechanizm pełnego dostępu jest czasem potrzebny - problem raczej w kontroli nad rozszerzenuami takowego wymagającymi.

Jacekalex · 2016-04-07 19:22:17

Reasumując, w przypadku Linuxa i BSD musi w FF powstać coś bazującego na rozwiązaniu typu Seccomp albo Capsicum, ale bazującego na grupach, podobnie jak to ma miejsce w Andku, jednak w stosunku do rozszerzeń.

Z resztą jeśli w FF to jest na razie błąd, to niby Chrome/Chromium są odporne?
Myślę, że granica hardeningu FF kończy się na kartach w osobnych procesach, powyżej tego prochu nie wymyślą w architekturze silnika, ale może jakiś bypas zrobią, żeby zablokować odnalezioną konkretną podatność, na którą cierpi 2 tys rozszerzeń.
Łatwiej poprawić jeden silnik, niż każde z 2000 rozszerzeń osobno.

hi · 2016-04-07 19:48:43

[quote="Jacekalex"]AA chroni system i Twoje pliki przed potencjalnie groźnym programem, a nie sam program.[/quote]
wiem wiem źle się wyraziłem, chodziło mi czy aa uchroni mi system gdy przykładowo zostanie wykorzystana podatność w jakimś dodatku powiedzmy w noscript z którego korzystam i czy mógłby ktoś zapodać jakiś dobry profil aa dla ff/iceweasela

Ostatnio edytowany przez hi (2016-04-07 20:01:15)

Time (s)	Query
0.00012	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00110	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.146.107.144' WHERE u.id=1
0.00065	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.146.107.144', 1732710465)
0.00046	SELECT * FROM punbb_online WHERE logged<1732710165
0.00061	DELETE FROM punbb_online WHERE ident='3.17.181.122'
0.00072	DELETE FROM punbb_online WHERE ident='54.36.149.59'
0.00088	SELECT topic_id FROM punbb_posts WHERE id=300335
0.00006	SELECT id FROM punbb_posts WHERE topic_id=28505 ORDER BY posted
0.00058	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=28505 AND t.moved_to IS NULL
0.00015	SELECT search_for, replace_with FROM punbb_censoring
0.00141	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=28505 ORDER BY p.id LIMIT 0,25
0.00075	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=28505
Total query time: 0.00753 s

Forum Debian Users Gang

Ogłoszenie

#1 2016-04-07 00:13:52

Jacekalex - Podobno człowiek...;)

Ciężkie czasy dla Firefoxa nadchodzą... :P

#2 2016-04-07 07:54:36

uzytkownikubunt - Zbanowany

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#3 2016-04-07 10:06:56

ethanak - Użytkownik

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#4 2016-04-07 11:23:30

pink - Użytkownik

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#5 2016-04-07 14:20:49

hi - Użytkownik

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#6 2016-04-07 15:07:45

uzytkownikubunt - Zbanowany

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#7 2016-04-07 18:07:23

Jacekalex - Podobno człowiek...;)

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#8 2016-04-07 18:19:25

uzytkownikubunt - Zbanowany

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#9 2016-04-07 18:21:36

ethanak - Użytkownik

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#10 2016-04-07 18:57:07

Jacekalex - Podobno człowiek...;)

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#11 2016-04-07 19:14:48

ethanak - Użytkownik

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#12 2016-04-07 19:22:17

Jacekalex - Podobno człowiek...;)

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

#13 2016-04-07 19:48:43

hi - Użytkownik

Re: Ciężkie czasy dla Firefoxa nadchodzą... :P

Stopka forum

Informacje debugowania