Nhiều lỗ hổng rò rỉ trong Pocket Add-on cho Firefox

Các lỗ hổng server-side trong Pocket add-on phổ biến đi kèm với trình duyệt Firefox đã được một nhà nghiên cứu bảo mật báo cáo. Các lỗ hổng bảo mật có thể cho phép tin tặc trích xuất dữ liệu từ các máy chủ của công ty cũng như danh sách đọc đi kèm với các liên kết độc hại.

Pocket, trước đây được biết đến như ‘Read it Later’, về cơ bản là một lựa chọn phần mở rộng opt-out, không thể loại bỏ trong tất cả các phiên bản của Firefox. Bạn có thể đăng ký sử dụng Pocket với cả tài khoản Firefox, tài khoản Google của bạn, hoặc bất kỳ địa chỉ email nào khác mà bạn sử dụng.

Nút Pocket trong trình duyệt Firefox cho phép bạn lưu lại các liên kết, video, các trang web, hoặc các bài báo vào tài khoản Pocket của bạn chỉ với một cú nhấp chuột, giúp bạn đọc chúng sau này dễ dàng hơn, thường là khi ngoại tuyến. Tuy nhiên, các lỗ hổng được phát hiện bởi nhà nghiên cứu bảo mật Clint Ruoho có thể cho phép tin tặc có được quyền truy cập root không hạn chế tới các máy chủ lưu trữ các ứng dụng, nhà nghiên cứu đã viết trong bài đăng blog của mình.

Để thực hiện điều này, một hacker chỉ cần:

• Một trình duyệt
• Ứng dụng Pocket Mobile
• Truy cập vào máy chủ Amazon EC2 với giá 2 cent một giờ

Nhà nghiên cứu, với mục tiêu khai thác chức năng chính của dịch vụ này, đã có thể thêm một địa chỉ nội địa máy chủ trong danh sách ‘Read it Later’ của người dùng. Điều này cho phép nhà nghiên cứu lấy thông tin nhạy cảm từ máy chủ bao gồm:

• Thông tin IAM
• Địa chỉ IP nội địa của máy chủ
• Loại mạng
• Key SSH Private cần thiết để kết nối không cần mật khẩu

Với sự giúp đỡ của các thông tin này, nó sẽ giúp truy cập không hạn chế, cho phép tin tặc đọc tất cả các file trên hệ thống tập tin với quyền root cấp trên máy chủ back-end.

Ruoho đã báo cáo Read It Later, công ty sở hữu Pocket, về các lỗ hổng ông tìm thấy và yêu cầu một bản vá. Phản ứng trước vấn đề trên, công ty đã đưa ra một xử lý nhanh chóng và đề nghị Ruoho hoãn công khai báo cáo đầy đủ của ông về các lỗ hổng này trong 21 ngày.

THN