Firefox kwetsbaar voor kwaadaardige plugins
De bescherming van Firefox tegen kwaadaardige plugins schiet ernstig tekort, waardoor kwaadwillenden stiekem plugins kunnen installeren. Firefox plugins hebben toegang tot de gehele browser, waaronder HTTPS-verkeer en het besturingssysteem. Plugins kunnen zodoende inloggegevens stelen, de inhoud van websites veranderen, bestanden buiten de Firefox directory aanpassen en uitvoerbare bestanden uitvoeren. "De mogelijkheid om de inhoud van HTTPS-verkeer te zien is uniek voor browserplugins", aldus Julien Sobrier van Zscaler Research.
Hij waarschuwt dat de browser te weinig controles op kwaadaardige plugins uitvoert. Zo moeten Google Chrome plugins aangeven welk domein toegankelijk is, en worden ze voor installatie aan de gebruiker getoond. De mogelijkheden van de plugings zijn ook beperkter, zoals het niet kunnen afluisteren van alle HTTP-verbindingen. "Daardoor zijn Chrome plugins veiliger, maar minder veelzijdig." Firefox daarentegen legt plugins helemaal geen beperkingen op.
De enige beveiligingsmaatregel is dat Firefox standaard alleen installaties vanaf de officiële Mozilla website toestaat en er een kort wachtscherm verschijnt. Na installatie verschijnt er een bericht om de browser te herstarten. Firefox laat na de herstart zien welke nieuwe plugins geïnstalleerd zijn. Toch zijn er manieren om stiekem plugins te installeren en zo toegang tot vertrouwelijke gegevens te krijgen, zegt Sobrier.
Backdoor
Firefox bewaart de informatie over geinstalleerde uitbreidingen in drie bestanden. Worden deze bestanden verwijderd, dan maakt Firefox ze opnieuw aan, zonder de gebruiker hierover te informeren. Een kwaadaardige plugin zou na installatie de bestanden kunnen verwijderen, zodat die aan de lijst wordt toegevoegd, zonder dat de gebruiker dit te zien krijgt.
Malware zou ook bestaande plugin-gegevens kunnen aanpassen. De plugin kan dan bijvoorbeeld een kwaadaardige versie met backdoor als nieuwe "update" downloaden. "Met deze techniek is de kwaadaardige installatie compleet onzichtbaar." Sobrier benadrukt dat er niet voldoende beveiligingsmaatregelen zijn om de integriteit van plugins na de installatie te verzekeren. "Ik hoop dat een toekomstige versie van Firefox aanvullende bescherming aanbrengt om manipulatie van geïnstalleerde plugins te voorkomen."
(terwijl ik met een pook in het smeulende as roer)
Chung Hui & Jorrit C
InfraG. US
Ik gebruik de Portable versie van Firefox.De bestanden bevinden zich niet op de gebruikelijke locatie, maar heel ergens anders. Dat zou hier wel eens het probleem kunnen omzeilen..
De features worden uitgedacht voor een ideale internet-wereld en nou blijkt die wereld helemaal niet ideaal te zijn......
Chrome gebruiken we ook maar niet omdat je niet weet wat je daarmee bij google voor sporen achterlaat.
Waar moet het heen met de webbrowsers?
sommige plugins heb ik al verwijderd, bv download van joetjoep.
verder zit er soms malware in zoals ietab.
geheugengebruik loopt ook alleen maar op, als het te erg wordt sluit ik ze allemaal vanuit taakbeheer om alles te herstellen bij herstart.
eerlijkheid gebiedt te vertellen dat ik wel een hoop tabs open heb staan.
toch zou de stabiliteit beter kunnen.
mogelijk kunnen ze de sources van plugins publiceren voor review voor ze worden opgenomen.
meestal is elke nieuwe versie een verbetering, dus ben benieuwd.
gebruik van google voelt alsof ze je aan de bruin (heroine) helpen, sla graag over.
Niet helemaal volledig dit..
1) XPI bestanden (browser extensions) kan je gewoon ook vanaf andere sites aanbieden, al kan je ze dan niet updaten vanuit het add-ons vensters
2) Mozilla doet ook aan code reviews, pas ná bezichtiging van een Mozilla editor worden plug-ins/extensions aan hun site toegevoegd
cheers,
atm0s
(welke browser niet dan?)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
