Linux-версия Mozilla VPN некорректно проверяет аутентификацию

Linux-версия Mozilla VPN некорректно проверяет аутентификацию

Linux-версия Mozilla VPN некорректно проверяет аутентификацию

Один из разработчиков Linux-дистрибутива SUSE указал на опасную уязвимость в клиенте Mozilla VPN для «пингвина». Эксплуатация бреши может позволить перенаправить сетевой трафик на сторонние ресурсы и вмешаться в текущие настройки VPN.

В посте на Openwall специалист Матиас Герстнер объясняет, что проблема кроется в некорректной проверке аутентификации. Баг затрагивает версию v2.14.1, которая вышла 30 мая.

Фактически уязвимость может использовать любой пользователь, что позволит ему перенаправить трафик «на сторону», вмешаться в конфигурацию VPN и многое другое. Особую опасность брешь представляет для компьютеров, которыми пользуются несколько людей.

По словам Герстнера, проблему удалось обнаружить в тот момент, когда один из сотрудников пытался добавить клиент Mozilla VPN в систему openSUSE Tumbleweed. Софт изучила команда безопасности SUSE (что является стандартной процедурой) и обратила внимание на службу D-Bus, запущенную от имени root и с политикой Polkit.

Polkit представляет собой API для аутентификации привилегированных программ. Как выяснила команда безопасников SUSE, процесс mozillavpn linuxdaemon содержал некорректную логику аутентификации.

После этого Герстнер обнаружил, что проверка аутентификации реализована по странной логике: код «просит» Polkit определить, авторизована ли служба Mozilla VPN D-Bus (а не конкретный пользователь) осуществлять определенное действие. Поскольку D-Bus работает с правами root, проверка аутентификации всегда возвращает утвердительное значение.

Таким образом, проверку пройдет любой пользователь и любой аккаунт, невзирая на права.

Любители Android уже получают запутанную установку APK, и она бесит всех

Google начала распространять новый расширенный сценарий установки приложений в обход Google Play. Один из пользователей Android уже получил обновлённый интерфейс и показал весь квест: подтвердить, что вас никто не принуждает, перезагрузить смартфон и подождать 24 часа.

Сначала система спрашивает, не попросил ли кто-нибудь разрешить установку сторонних APK.

Google предупреждает, что мошенники часто убеждают жертв загружать приложения из неизвестных источников, а сотрудники государственных организаций и легального бизнеса якобы никогда не требуют включать такую возможность.

После подтверждения смартфон необходимо перезагрузить. Сделать это можно сразу или позже, но суточный таймер, судя по опубликованным скриншотам, связан с прохождением этого этапа.

Оставшееся время отображается в настройках, а пользоваться устройством во время ожидания разрешается как обычно.


Когда 24 часа истекут, пользователь сможет разрешить установку сторонних приложений на семь дней или бессрочно. Новый порядок не распространяется на установку через ADB, что оставляет технически подкованным владельцам Android запасной выход.

Google объясняет задержку борьбой с мошенничеством: пауза должна дать человеку время понять, действительно ли ему нужен неизвестный APK. Однако пользователи опасаются, что это лишь промежуточный этап перед дальнейшим ужесточением правил.

В опросе Android Authority 88% участников предположили, что Google продолжит закручивать гайки. Пока Android всё ещё позволяет ставить приложения не из фирменного магазина.

RSS: Новости на портале Anti-Malware.ru