En résumé a écrit :

Une faille critique de Firefox expose les utilisateurs de Tor Browser Bundle
Résumé : Récemment découverte dans le navigateur Firefox de Mozilla, une vulnérabilité critique a permis le développement d'un code d'exploitation en Javascript dont le but est de révéler les utilisateurs de Tor Browser Bundle, tout en collectant différentes informations sensibles sur ces derniers.

Le projet TOR conseille dès maintenant à ses utilisateurs d'arrêter d'utiliser les systèmes d'exploitation de type Microsoft Windows après la découverte la découverte d'une vulnérabilité critique dans le navigateur Mozilla Firefox, l'exploitation de cette dernière allant à l'encontre de tous les avantages d'anonymisation habituellement fournis par le réseau constitué de nœuds TOR.

La vulnérabilité autorisant l'utilisation d'un code Javascript spécifique afin de collecter des informations identifiantes cruciales sur les ordinateurs qui visitent des sites Web par l'intermédiaire du réseau Tor. Ce script ciblant spécifiquement les systèmes Microsoft Windows et la version 17 ESR (Extended Support Release) de Firefox, une version personnalisée pour l'usage de TOR.

Les utilisateurs des systèmes d'exploitation de type GNU/Linux et Mac OS X n'étant pas concernés pour le moment, néanmoins rien n'empêche que cela soit le cas dans un avenir plus ou moins proche. Déposé sur certains sites, le code Javascript malicieux en question collecte notamment le « hostname » et l'adresse MAC des ordinateurs des victimes, puis les envoie vers un serveur distant.

D'après le chercheur Vlad Tsyrklevich, ce code d'exploitation semble donc avoir été développé de façon spécifique au ciblage des utilisateurs de la solution Tor Browser Bundle et ce afin de les démasquer malgré leur utilisation du réseau anonymisant. Aucun code vraiment offensif, comme une porte dérobée par exemple, n'étant cependant ici utilisé à l'encontre des ordinateurs ciblés.

Les responsables de TOR invitent également les utilisateurs à désactiver l'exécution du Javascript afin de réduire les risques d'exploitation vis-à-vis de cette vulnérabilité ou de vulnérabilités semblables à l'avenir. Une future version de Tor Browser Bundle devrait par ailleurs être publiée prochainement, elle contiendra une interface permettant une configuration aisée et liée à Javascript.

A noter que la vulnérabilité a été corrigée par Mozilla dans les dernières versions de Firefox et donc dans les dernières versions également de Tor Browser Bundle, néanmoins les utilisateurs des versions plus anciennes de ce dernier restent toujours vulnérables à son exploitation, il est donc plus que vivement conseillé de faire les mises à jour nécessaires afin de s'en protéger à l'avenir.