De Amerikaanse overheid heeft federale instanties opgedragen een zeven jaar oud zerodaylek in Firefox, dat mogelijk door de FBI werd ingezet om gebruikers van Tor Browser te ontmaskeren, voor 13 juli te patchen. In november 2016 werd bekend dat een zerodaylek in Firefox werd gebruikt voor een zeroday-aanval tegen Tor Browser-gebruikers. Tor Browser laat gebruikers verbinding met het Tor-netwerk maken. Het bestaat uit een aangepaste Firefox-versie en de software die de verbinding met het Tor-netwerk opzet.
Op 30 november 2016 kwam Mozilla met een beveiligingsupdate voor de kwetsbaarheid, aangeduid als CVE-2016-9079. Het beveiligingslek in kwestie was een jaar eerder door Exodus Intelligence aan beveiligingsbedrijf Fortinet en een "offensieve klant" verkocht. De directeur van Exodus Intelligence, dat onderzoekers beloont voor het rapporteren van allerlei kwetsbaarheden, liet in 2017 weten dat de Tor Browser-exploit aan een niet nader genoemde overheidsinstantie was verkocht. Deze instantie had het op één specifiek persoon voorzien die zes uur na het leveren van de exploit kon worden aangehouden, aldus de directeur.
Uit een gerechtelijk document dat begin 2018 bekend werd bleek dat de FBI eind 2016 een zerodaylek tegen Tor Browser-gebruikers had ingezet. Om welke kwetsbaarheid het gaat is echter nooit bekend geworden. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security houdt een lijst bij van actief aangevallen kwetsbaarheden en stelt vervolgens deadlines wanneer federale overheidsinstanties de update voor het betreffende probleem moeten installeren.
De lijst, die inzicht geeft in kwetsbaarheden waarvan aanvallers misbruik maken, wordt geregeld met nieuw aangevallen beveiligingslekken uitgebreid. Het komt echter ook voor dat oudere kwetsbaarheden worden vermeld. In de nieuwste update voor de "Known Exploited Vulnerabilities" lijst is CVE-2016-9079 opgenomen. Iets dat op Twitter voor de nodige vragen zorgt. Mochten Amerikaanse overheidsinstanties nog met een zeven jaar oude versie van Firefox of Tor Browser werken, dan dienen ze die voor 13 juli te hebben geüpdatet.
Deze posting is gelocked. Reageren is niet meer mogelijk.