FIREFOX: De nombreuses extensions vulnérables à un nouveau type d'attaque

Discussion dans 'Sécurité et virus' créé par Root1234, 6 Avril 2016.

  1. Root1234

    Root1234 Adept

    Messages:
    12
    J'aime reçus:
    6
    Points:
    2
    Réputation:
    0
    Malgré toutes les tentatives de la part de la fondation Mozilla pour sécuriser Firefox, quatre chercheurs viennent de découvrir que le navigateur pouvait toujours être la cible de malwares par l'intermédiaire de ses modules complémentaires. Et le pire, c'est qu'aucune parade n'existe pour l'instant.
    [​IMG]
    Les extensions, ou modules complémentaires, proposent à Firefox des fonctionnalités inédites. Grâce à elles, on peut télécharger des vidéos, bloquer la publicité, traduire ou corriger automatiquement un texte, installer un proxy, etc. Ce sont elles qui ont permis au navigateur d'acquérir sa popularité il y a déjà plus d'une douzaine d'années. Bref, elles sont devenues totalement indispensables au navigateur, à tel point qu'elles sont devenues l'une des cibles privilégiées des hackers de tout poil. Ce n'est pas la première fois que Firefox fait les frais d'un problème de sécurité à cause de ses extensions, et la fondation Mozilla a d'ailleurs mis en place il y a quelques mois un dispositif bloquant toute installation de modules non sécurisés. Et pourtant, il semble que les extensions soient de nouveau potentiellement dangereuses.

    Un groupe de quatre experts vient en effet de révéler que l'étanchéité entre chaque extension est loin d'être absolue : une fois installée, une extension peut potentiellement communiquer avec une autre et utiliser ses capacités. Alors que ce n'est pas sa vocation et qu'elle n'en a pas l'autorisation, une extension peut par exemple exploiter les capacités de téléchargement d'une autre. NomméeExtension-reuse vulnerability, cette faille de sécurité touche les extensions les plus populaires de Firefox. Sur les 10 modules les plus répandus, 9 sont potentiellement vulnérables :
    • Video DownloadHelper
    • Firebug
    • NoScript
    • DownThemAll!
    • Greasemonkey
    • Web of Trust
    • Flash Video Download
    • FlashGot Mass Download
    • Download YouTube Videos
    Seul AdBlock Plus s'en tire avec les honneurs. Mais les chercheurs qui ont mis en lumière cette faille, sont allés plus loin : ils ont analysé les 2000 extensions les plus utilisées par les internautes, et ont découvert qu'elles souffraient de 3018 vulnérabilités. Ce type de faille ne peut pas être comblé à coup de patch, et c'est l'intégralité du mode de fonctionnement de Firefox qui est à revoir. Pour l'instant, il n'existe aucune solution miracle : il faut attendre que la fondation Mozilla finalise une nouvelle méthode d'intégration des extensions, un travail qu'elle a entamé en août dernier, mais qui tarde à aboutir. La fondation n'a, pour l'instant, pas réagi à l'étude des chercheurs.
     

Partager cette page