Onderzoekers hebben een beveiligingslek in Firefox-extensies ontdekt waardoor een aanvaller met medewerking van een slachtoffer gegevens kan stelen en in het ergste geval de computer kan overnemen. De onderzoekers presenteerden hun onderzoek genaamd "CrossFire: An Analysis of Firefox Extension-Reuse Vulnerabilities" (pdf) tijdens het NDSS Symposium in februari en Black Hat Asia dat vorige week plaatsvond.

De onderzoekers ontdekten een manier waarop een op het eerste gezicht goedaardige extensie de aanwezigheid van andere extensies kan gebruiken om bijvoorbeeld gegevens te stelen of malware te downloaden. Hierbij wordt er gebruik gemaakt van een gebrek aan isolatie binnen Firefox. Daardoor kan de ene extensie de andere gebruiken. Om de aanval te laten slagen zijn er wel verschillende voorwaarden vereist. Zo moet de gebruiker eerst zelf de kwaadaardige extensie installeren. Vervolgens moet de gebruiker voldoende goedaardige extensies hebben geïnstalleerd waar de kwaadaardige extensie gebruik van kan maken.

Het maken van een kwaadaardige extensie die van de kwetsbaarheid gebruikmaakt zou echter eenvoudig zijn en kan binnen 10 minuten worden gedaan, aldus de onderzoekers. Uit het onderzoek blijkt dat het probleem bij honderden extensies speelt, waaronder 9 van de 10 populairste Firefox-extensies. Het gaat bijvoorbeeld om NoScript en Video DownloadHelper, extensies die miljoenen gebruikers hebben. Vorig jaar kondigde Mozilla al aan dat het op een geheel nieuw model voor extensies overstapt, waarbij elke extensie in een eigen sandbox zal draaien, wat de bovengenoemde aanval voorkomt.