Algunas extensiones de Firefox abren la puerta al código malicioso y robo de datos

Software

Las extensiones de los navegadores añaden funciones imprescindibles que nos facilitan el día a día pero también pueden llegar a convertirse en una fuente de problemas si las cosas no se terminan de hacer bien. Esto es lo que está ocurriendo en Firefox con algunas extensiones del estilo de NoScript o Firebug que abren la puerta al código malicioso y robo de datos.

Al menos es la conclusión de un grupo de investigadores que fue presentada la pasada semana en la conferencia de seguridad Black Hat celebrada en Singapur. Algunas de las extensiones más populares del navegador de Mozilla, como NoScript o Firebug, podrían permitir ataques remotos. Esto es posible debido a la falta de aislamiento de las extensiones que permite que algunas maliciosas utilicen “capacidades” de otras ya instaladas.

extensiones firefox

Según han comunicado, nueve de las diez extensiones más populares para Mozilla Firefox cuentan con esta vulnerabilidad. Además, al utilizar componentes de otras extensiones, es complicado el detectar el comportamiento malicioso. Los investigadores señalan que estas vulnerabilidades permiten el uso de funciones críticas de seguridad de otras legítimas, permitiendo ataques remotos y robo de datos.

La única extensión en el top 10 de Mozilla Firefox que no está afectada por la vulnerabilidad es Adblock Plus. En la siguiente tabla vemos un análisis de las extensiones más descargadas y los ataques que permiten realizar aprovechando las mencionadas vulnerabilidades.

top 10 firefox

Por suerte, no todo es tan sencillo a la hora de aprovechar las vulnerabilidades. El atacante debe lograr que instalemos la extensión maliciosa que cuenta con un troyano en su interior. Después, debemos contar con las suficientes extensiones legítimas para que la maliciosa pueda conseguir su objetivo. Como vemos, se deben dar algunos sucesos específicos aunque no es imposible que ocurra.

Destacado: Llega Mozilla Firefox 45 con pocas novedades pero con nueva versión ESR

Los responsables de Firefox ya se han puesto manos a la obra para solucionar este problema aunque esto supone revisar toda la plataforma de extensiones del navegador y la forma en que hacen uso de los componentes. Como parte de la iniciativa para introducir la arquitectura multiproceso, las extensiones de Firefox se ejecutarán en un “sandbox” para que no puedan compartir código.

Quizá te interese…

Cómo borrar tus datos privados automáticamente al cerrar el navegador en Chrome, Firefox, IE y Ópera

Magic Actions for YouTube, controla y personaliza todo con esta extensión de Chrome y Firefox

BrowserAddonsView te ayuda a gestionar las extensiones de Chrome, Firefox e Internet Explorer

Escrito por Claudio Valero

Fuente > arstechnica

Continúa leyendo
Comentarios
2 comentarios
  1. Anónimo
    Usuario no registrado
    06 Abr, 16 10:52 am

    Título sensacionalista.

  2. Nova6K0 06 Abr, 16 4:15 pm

    Este es uno de los motivos de abandonar progresivamente los complementos XUL/XPCOM que son menos inseguros que Webextensions entre otras cosas porque pueden permitir la ejecución de código malicioso al pedir al sistema una elevación de privilegios, cosa que con Webextensions no, ya que dichos permisos y lo que se puede hacer va en el archivo manifest.json. Que es como una lista blanca de lo que la propia extensión puede o no puede hacer. Incluso aunque sea un complemento malicioso el propio manifest.json revelaría sus verdaderas intenciones.

    Salu2