Complementos de Firefox se exponen a la ejecución de código malicioso

En la que sería la explotación de vulnerabilidades más confusa conocida, se ven involucrados de manera indirecta al menos 9 de los 10 complementos más populares para Firefox, tales como NoScript, Video DownloadHelper, Greasemonkey, entre otras, todas ellas similares porque trabajan con lenguaje JavaScript.

Expertos en seguridad dieron a conocer durante una conferencia en el Black Hat, celebrado en Singapur, que algunos de los complementos más populares para el navegador de Mozilla, firmados por la compañía, exponen a millones de usuarios ante un comportamiento malicioso que difícilmente podría ser detectado, de acuerdo con el reporte de ArsTechnica.

Los investigadores describen una técnica confusa para explotar vulnerabilidades en complementos como Firebug y FlashGot Mass Down, además de los ya mencionados. Cualquiera con los conocimiento suficientes puede desarrollar un complemento capaz de explotar y reusar vulnerabilidades en otros para ejecutar código malicioso a través de ellos.

En otras palabras, algún complemento que sea desarrollado con fines maliciosos podrá manipular al resto explotando sus vulnerabilidades. Quizá a uno de ellos para abrir páginas web sin permiso, otro para descargar malware y uno más para acceder al sistema de archivos, gracias a que Firefox comparte su espacio JavaScript con los complementos.

Complementos vulnerables, falsos positivos y tipos de ataques. (c) ArsTechnica

Obviamente, para que el atacante tenga éxito, el usuario deberá tener instalado el complemento que explota las vulnerabilidades, más uno de los complementos comprometidos. Cabe mencionar que si el usuario no cuenta con alguno de ellos, el complemento malicioso evita cualquier intento de explotación y con ello ser detectado.

Mozilla está consciente de este problema y asegura que las siguientes versiones de Firefox lo resolverán aislando el espacio JavaScript del usado por las extensiones, esto con la introducción del funcionamiento multiproceso al que ha bautizado como electrolysis, el cual conjugará con la tecnología WebExtensions.

Por su parte, los investigadores aseguran que apoyarán a Mozilla y su equipo de investigación para redoblar su esfuerzo contra la explotación de vulnerabilidades en los complementos. Mientras tanto, los usuarios del navegador tendrán que decidir si conservarlos o no, viendo cuan vulnerables pueden estar ante un escenario tan particular como este.

Opinar es gratis, como siempre. No olviden seguirnos y comentar en Facebook.