LinuxParty

En google.dirson.com, publican "La vulnerabilidad no ha sido causada por el propio software de Google, pero sí que afecta a dos de ellos, concretamente a la versión de la 'Google Toolbar' para el navegador web Firefox, así como 'Google Browser Sync'. Y es que los usuarios de estas dos extensiones de Firefox, al igual que los de otras muchas extensiones comerciales (las de código abierto alojadas en 'https://addons.mozilla.org', no), son susceptibles de poder ser víctimas de una vulnerabilidad descubierta por Christopher Soghoian, estudiante de doctorado en seguridad informática que colaboró con Google hasta noviembre de 2006, mes en el que tuvo un incidente con el FBI."

Soghoian ha descubierto que todas estas extensiones comerciales se descargan de sitios web no seguros (sin 'https'), situación que provoca que un hipotético atacante sea capaz de forzar al sitio web a descargarse las extensiones desde servidores que simulan ser los originales pero que en realidad están consiguiendo que el usuario se descargue un software malicioso. En este vídeo se explica cómo, si el atacante es capaz de hacernos creer (por ejemplo, alterando la configuración DNS de una conexión WiFi o modificando el fichero '/etc/hosts') que un servidor está en otra dirección, el navegador web se descarga cualquier software sin comprobar que se trataba del anterior servidor seguro.

Soghoian recomienda desinstalar estas extensiones, y subraya que los usuarios de 'Google Pack' son los más vulnerables. Además, asegura que, aunque notificó desde hace casi dos meses a los responsables de Google (además de los de otras firmas, como Yahoo!) de este incidente, aún no se ha lanzado una nueva versión de sus herramientas que solucione este asunto.

Esta vulnerabilidad no está relacionada con la versión de Firefox que se utilice, y solamente depende de la voluntad de los desarrolladores de extensiones para implementar servidores seguros para la descarga de este software, tal y como asegura de hecho la Fundación Mozilla en este comunicado.

Soghoian trabajó en el Departamento de Seguridad de Aplicaciones de Google, entre los meses de junio y noviembre de 2006, en las oficinas centrales de Google en California. Durante este tiempo, colaboró en tareas como el desarrollo de herramientas 'anti-phising', servicios verificación de cuentas para dispositivos móviles, o análisis de logs para la localización del fraude en los clicks.