В Tor Browser устранена уязвимость, допускавшая прямое соединение в обход Tor

28.07.2017 11:55

Доступен корректирующий релиз специализированного браузера Tor Browser 7.0.3, ориентированного на обеспечение анонимности, безопасности и приватности. Браузер построен на кодовой базе Firefox и отличается тем, что весь трафик перенаправляется только через сеть Tor. В выпуске устранена опасная уязвимость, позволяющая при открытии специально оформленного URL, напрямую обратиться к внешнему ресурсу с реального IP-адреса текущей системы.

Проблема затрагивает только Linux-дистрибутивы, в которых присутствует сервис GVfs (GNOME Virtual file system) и используется библиотека GIO (GNOME Input/Output). Код поддержки GVfs/GIO в Firefox допускает запуск системного обработчика URL (например, smb://, sftp:// и т.п.), при помощи которого может быть осуществлено обращение к ресурсам в обход настроек прокси, что даёт возможность через GIO совершить прямое соединение на внешний хост и деанонимизировать пользователя.

Проблема не проявляется в дистрибутиве Tails, в сборке sandboxed-tor-browser (Tor Browser запускается в изолированном окружении) и в дистрибутиве Whonix (выход в сеть из производится только через шлюз Whonix-Gateway, что изолирует рабочее окружение от прямого взаимодействия с внешним миром и допускает использование только фиктивных сетевых адресов).

Например, при открытии ссылки "smb://8.8.8.8" или "sftp://8.8.8.8/" будет выполнено обращение к хосту 8.8.8.8 по сетевым портам 139 и 22:


   $ sudo tcpdump -n -i wlan0 host 8.8.8.8

   14:06:12.577697 IP 192.168.1.11.39142 > 8.8.8.8.139: Flags [S], seq 1960788434, win 29200, options [mss 1460,sackOK,TS val 81835484 ecr 0,nop,wscale 7], length 0
   14:06:13.575642 IP 192.168.1.11.39142 > 8.8.8.8.139: Flags [S], seq 1960788434, win 29200, options [mss 1460,sackOK,TS val 81835734 ecr 0,nop,wscale 7], length 0
   14:07:12.291002 IP 192.168.1.11.47928 > 8.8.8.8.22: Flags [S], seq 3208825553, win 29200, options [mss 1460,sackOK,TS val 81850412 ecr 0,nop,wscale 7], length 0
   14:07:13.287567 IP 192.168.1.11.47928 > 8.8.8.8.22: Flags [S], seq 3208825553, win 29200, options [mss 1460,sackOK,TS val 81850662 ecr 0,nop,wscale 7], length 0

исправить +15 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/46936-tor

Ключевые слова: tor

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (42)

1.2, commiethebeastie (ok), 12:11, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]	+7 +/–
Ага, зашибись, нефиг пользоваться тором с ненастроенным фаерволом.

2.4, Аноним (-), 12:28, 28/07/2017 [^] [^^] [^^^] [ответить]	+2 +/–
Кстати, кто-нибудь знает как пустить виртуалку через Tor? Чтобы даже теоретической такой возможности не было. И чтобы пользоваться в виртуалке нормальным браузером, а не "Вы не можете смотреть это видео без флеш плеера", который в Тор Браузер установить нельзя.

3.5, Виктор (??), 12:32, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
скачать whonix gateway и поставить в виртуалке в качестве шлюза.

4.25, anonfhgfxhfsykhgdhtdjyh (?), 16:20, 28/07/2017 [^] [^^] [^^^] [ответить]	+2 +/–
https://xmail.net/netmans Инструкции Инструкция по настройке прозрачной маршрутизации трафика debian-based операционной системы через tor Инструкция по изолирующей маршрутизации трафика приложений гостеой операционной системы в VirtualBox через tor

3.8, Аноним (-), 13:23, 28/07/2017 [^] [^^] [^^^] [ответить]	–1 +/–
1) На своём компе: ставь тор, ss -tulpan \| grep 9050 2) Создай виртуалку без ната, чтобы там не было выхода в сеть. Проверь это. 3) На виртуалке: натрави "экскремент эксплорер", запущеный в ректалосе на socks5-proxy <шлюз виртуалки>:9050 Жду комментов и конструктивного сра4а.

4.21, Аноним (-), 15:40, 28/07/2017 [^] [^^] [^^^] [ответить]	–2 +/–
> 1) На своём компе: ставь тор, ss -tulpan \| grep 9050 > 2) Создай виртуалку без ната, чтобы там не было выхода в сеть. > Проверь это. > 3) На виртуалке: натрави "экскремент эксплорер", запущеный в ректалосе на socks5-proxy > <шлюз виртуалки>:9050 > Жду комментов и конструктивного сра4а. Зачем создавать ВМ без выхода в сеть? Причем здесь NAT? А если гость не Вин как запустить Эклсплорер, да еще в каком то ректалосе?

5.32, Аноним (-), 17:56, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
При создании виртуалки в вбоксе по умолчанию создаётся сеть за натом. В таком случае от тора толку не будет. С kvm - то же(user network). Нам же, нужна сеть НЕ за натом, из которой в интернет доступа не будет. Это нужно для того, чтобы браузер выходил только на запущеный на хосте tor-proxy. А что, ректалос - не вин? Брагин с вами не согласен. И экскремент эксплорер там есть.

4.36, ыпр (?), 19:56, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
Уважаемый, пожалуйста не используйте свой "ректально извращенный" русский для описания. Спасибо

3.17, Fantomas (??), 15:08, 28/07/2017 [^] [^^] [^^^] [ответить]	+2 +/–
https://github.com/yurivict/vm-to-tor

4.34, Аноним (-), 19:24, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
Спасибо. Но там FreeBSD. Для GNU/Linux есть инструкция?

3.43, Аноним (-), 23:45, 28/07/2017 [^] [^^] [^^^] [ответить]	+1 +/–
> который в Тор Браузер установить нельзя Вообще-то можно. Кидаешь портейбл флеш в Tor Browser\Browser\browser\plugins, как в лисе и включаешь.

3.44, Anonplus (?), 00:29, 29/07/2017 [^] [^^] [^^^] [ответить]

+/–

Внутри виртуалки сделайте вот так

"Я использую tor с изоляцией в network namespace. Все приложения остаются на едине с veth интерфейсом, который слушает только 9050 в качестве socks-proxy. Если приложение хочет идти напрямую, то оно просто получает no route to host по причине отсутствия route'ов наружу любого вида.

В этих условиях никакой посторонний трафик не может уйти за пределы namespace, а если tor-node ляжет, то просто порвётся коннект и socks-proxy будет либо reset by peer, либо просто исчезнет veth интерфейс и приложение останется без сети. "

https://habrahabr.ru/post/250851/#comment_8286021

3.45, Аноним (-), 10:08, 29/07/2017 [^] [^^] [^^^] [ответить]

+/–

Смотря какую виртуальную.

Самый простой способ будет: заделать network namespace в которую прибросить veth peer и wlan интерфейс. Запустить тор на veth в этом netns. Затем настроить MASQUERADE и прероутинг правила что то типа:
iptables -t nat -A PREROUTING -i vpeer0 -p udp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -A PREROUTING -i vpeer0 -p tcp --syn -j REDIRECT --to-ports 9040
iptables -t nat -A PREROUTING -i vpeer0 -j DROP
Ну и зацепить veth в виртуалку

--
Пишу с телефона, лень вставать и идти до компа чтобы написать нормально

4.58, Аноним (-), 01:54, 01/08/2017 [^] [^^] [^^^] [ответить]	+/–
локалку без роутинга в tap эффективнее, оно не может терять траф даже до того как сконфигурировано, хотя можно сочетать с veth-ами, бриджами, вланами и namespace-ами, главное в этом процессе - не спятить.

3.50, Ъ (?), 17:29, 29/07/2017 [^] [^^] [^^^] [ответить]	+/–
http://darkk.net.ru/redsocks/ в помощь

3.57, Аноним (-), 01:48, 01/08/2017 [^] [^^] [^^^] [ответить]

+/–

> Кстати, кто-нибудь знает как пустить виртуалку через Tor? Чтобы даже теоретической такой
> возможности не было.

настрой сетку между вм и хостом как локалку без роутинга, на хосте прокс, тор или чего еще. роутинг на хосте между ифэйсами можешь выключить, чтобы наверняка. читай маны на настройку сети ОС и виртуализатора, придется подтянуть знания в сетях.

> И чтобы пользоваться в виртуалке нормальным браузером, а не "Вы не можете смотреть это видео без флеш плеера

в флэш тебе напхают неудалимых куков - и толку от тора тогда? еще по 20 дыр каждый раз чинят, так флеш могут хакнуть - ну и все, дальше видно все.

3.62, annon (?), 09:13, 07/08/2017 [^] [^^] [^^^] [ответить]	+/–
a set of scripts to start applications inside a linux namespace and automatically “Tor-ify” their network traffic https://www.void.gr/kargig/blog/2016/12/12/firejail-with-tor-howto/

2.18, Аноним (-), 15:27, 28/07/2017 [^] [^^] [^^^] [ответить]	–1 +/–
Ага.. Ну и как же его настроить? Запретить пакеты на указанные порты?

3.61, Аноним (-), 09:54, 04/08/2017 [^] [^^] [^^^] [ответить]	+/–
ребята, если вы задаете такие вопросы - пожалуйста, не пользуйтесь тором вы за... большой текст свёрнут, показать

1.3, Аноним (-), 12:23, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Как знал Вот мой конфиг --enable-application browser --host x86_64-pc-linux-gn... большой текст свёрнут, показать

2.6, Пользователь (?), 12:42, 28/07/2017 [^] [^^] [^^^] [ответить]	+15 +/–
Вы себе льстите

2.12, Аноним (-), 14:08, 28/07/2017 [^] [^^] [^^^] [ответить]	+1 +/–
Обновления безопасности чуть ли не каждую неделю выпускают. Каждую неделю заново собираешь?

3.14, Аноним (-), 14:13, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
Нет. Я пока "не осилил" сборку следующего LTS. Пользуюсь пока 45.0.9, не критично

3.28, Sabakwaka (ok), 17:43, 28/07/2017 [^] [^^] [^^^] [ответить]	+1 +/–
>> Каждую неделю заново собираешь? А то и пару раз в день. А что?

3.31, arrnorets (ok), 17:50, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
> Обновления безопасности чуть ли не каждую неделю выпускают. Каждую неделю заново собираешь? Нам, гентушникам, один хрен: что патчи подтаскивать, что сорцы растаскивать.

2.19, IZh. (?), 15:30, 28/07/2017 [^] [^^] [^^^] [ответить]	+3 +/–
По кастомной сборке проще отлавливать. ;-)

3.35, Аноним (-), 19:25, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
> По кастомной сборке проще отлавливать. ;-) Да, но я не занимаюсь запрещённым. Только в социалочки захожу, приняв меры предосторожности, чтобы не "посадили" за репост. Такие как скрывание реального IP и не выкладывание личных данных (имя и фото).

4.48, Аноним (-), 16:32, 29/07/2017 [^] [^^] [^^^] [ответить]	+3 +/–
> я не занимаюсь запрещённым > чтобы не "посадили" за репост. как же у тебя в голове уживаются два взаимоисключающих понятия?

5.51, Crazy Alex (ok), 23:25, 29/07/2017 [^] [^^] [^^^] [ответить]	+2 +/–
Правильно уживаются, кстати - есть запрещённое и "запрещённое". Товарищ прикрывается ровно настолько, чтобы его с кондачка не нашли. А всерьёз из-за таких мелочей никто копать не будет.

2.38, Аноним (-), 21:16, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
http://cs.pikabu.ru/post_img/2013/12/23/9/1387807248_763857537.jpg

1.7, Аноним (-), 13:00, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Ого, выходит не зря я установку этого gvfs запретил в пакетном менеджере. Хоть gnome и не пользуюсь, какая-нибудь программа так и норовит зачем-то притащить это в систему, хотя и без него все работает.

1.9, Аноним (-), 13:25, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Кстати, а гуглоаналитику из тор-браузера удалили?

2.10, Аноним (-), 13:32, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
Тоже любопытно ))

2.13, Аноним (-), 14:08, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
> Кстати, а гуглоаналитику из тор-браузера удалили? Патчи то слабо посмотреть?

2.55, rfrdfy (?), 22:25, 30/07/2017 [^] [^^] [^^^] [ответить]	+1 +/–
> Кстати, а гуглоаналитику из тор-браузера удалили? да: https://gitweb.torproject.org/tor-browser.git/commit/browser/app/profile/000-t

1.11, Аноним (-), 14:01, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Как всегда дырявый гном виноват. Вспомните их gnome-thumbnails, или как его там. То фейл с комикс-форматом, то с MSI, теперь это...

2.15, Аноним (-), 14:28, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
gnome-thumbnails не их, а тут вообще уязвимость огнелиса.

3.16, Аноним (-), 14:50, 28/07/2017 [^] [^^] [^^^] [ответить]	+/–
> Проблема затрагивает только Linux-дистрибутивы, в которых присутствует сервис GVfs (GNOME Virtual file system) и используется библиотека GIO (GNOME Input/Output). > GNOME Virtual file system, GNOME Input/Output Новость не читай, комментарии пиши.

2.46, Аноним (-), 12:35, 29/07/2017 [^] [^^] [^^^] [ответить]	+/–
Зато хипсторам нравится!

1.56, Аноним (-), 07:25, 31/07/2017 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
> Проблема затрагивает только Linux-дистрибутивы, в которых > присутствует сервис GVfs (GNOME Virtual file system) эти ваши линуксы с гномами то ещё ведро дырявое

2.59, Аноним (-), 01:57, 01/08/2017 [^] [^^] [^^^] [ответить]

–2 +/–

> эти ваши линуксы с гномами то ещё ведро дырявое

покажи что-нибудь лучше, чудак.

3.60, Аноним (-), 09:33, 04/08/2017 [^] [^^] [^^^] [ответить]	+/–
Users on Windows and macOS are not affected and stay on Tor Browser 7.0.2.

игнорирование участников | лог модерирования

Добавить комментарий

Текст: