Milliókat tesznek ki veszélynek a Firefox kiegészítői

People wait to attend the press conference of Mozilla's Chief Executive Officer (CEO) in Barcelona on February 24, 2013, a day before the start of the 2013 Mobile World Congress. The 2013 Mobile World Congress, the world's biggest mobile fair, is held from February 25 to February 28 in Barcelona. AFP PHOTO / JOSEP LAGO

A látszólag ártalmatlan, ám malware-rel fertőzött bővítmények arra is rávehetik a többi kiegészítőt, hogy adatokat lopjanak a felhasználótól. A tíz legnépszerűbb beépülő közül kilenc sebezhető ilyen módon annak köszönhetően, hogy a Firefox nem különíti el azok működését.

A Mozilla Firefoxba települő kiegészítők közül mintegy kétezer sebezhető annak köszönhetően, ahogyan a böngésző kezeli a bővítményeket. A problémára a Northeastern Egyetem kutatói hívták fel a figyelmet a Black Hat Asia kiberbiztonsági konferencián, akik azt vizsgálták tanulmányukban, hogyan működnek együtt a kiegészítők akkor, ha valamelyik látszólag ártalmatlan, ám valójában fertőző.

Komoly sebezhetőséget jelent ugyanis az, hogy a Firefox nem kezeli külön a bővítményeket. Egy bővítmény interakcióba léphet más bővítménnyel is, megoszthatnak egymással kódokat, funkciókat.

Így ha a felhasználó egy olyan beépülőt telepít, ami valójában álcázott malware,

az más kiegészítőket is rávehet arra, hogy végezzék el helyette a piszkos munkát.

Ki tudja használni azok képességeit, például a letöltőprogramok más vírusokat tölthetnek le, vírusos oldalakra vezethetik a felhasználót, vagy jelszavakat, böngészési információkat lophat el rajtuk keresztül. Az ilyen technikával működő kártékony kiegészítőket rendkívül nehéz felfedezni a jelenlegi módszerrel - árulták el a kutatók.

Bővítményeken keresztül milliókat lehet megfertőzni Forrás: AFP/Josep Lago

A Firefox tíz legnépszerűbb bővítményéből kilenc sebezhető ilyen módon, ezeket több millióan használják. Többek közt említették a Video DownloadHelper, Firebug, NoScript Security Suite, DownthemAll!, Greasemonkey, Web of Trust, Flash Video Downloader, FlashGot Mass Downloader és a Download Youtube Videos kiegészítőket. Az AdBlock Plus kivételt képez.

A Firefox elnöke, Nick Nguyen elismerte az Ars Technica-nak a sebezhetőséget, de a cég már dolgozik azon, hogy minél több fejlesztő térjen át a WebExtensions programozási interfész használatára, ami már elkülönítve kezeli a bővítményeket.