De bescherming van Firefox tegen kwaadaardige plugins schiet ernstig tekort, waardoor kwaadwillenden stiekem plugins kunnen installeren. Firefox plugins hebben toegang tot de gehele browser, waaronder HTTPS-verkeer en het besturingssysteem. Plugins kunnen zodoende inloggegevens stelen, de inhoud van websites veranderen, bestanden buiten de Firefox directory aanpassen en uitvoerbare bestanden uitvoeren. "De mogelijkheid om de inhoud van HTTPS-verkeer te zien is uniek voor browserplugins", aldus Julien Sobrier van Zscaler Research.

Hij waarschuwt dat de browser te weinig controles op kwaadaardige plugins uitvoert. Zo moeten Google Chrome plugins aangeven welk domein toegankelijk is, en worden ze voor installatie aan de gebruiker getoond. De mogelijkheden van de plugings zijn ook beperkter, zoals het niet kunnen afluisteren van alle HTTP-verbindingen. "Daardoor zijn Chrome plugins veiliger, maar minder veelzijdig." Firefox daarentegen legt plugins helemaal geen beperkingen op.

De enige beveiligingsmaatregel is dat Firefox standaard alleen installaties vanaf de officiële Mozilla website toestaat en er een kort wachtscherm verschijnt. Na installatie verschijnt er een bericht om de browser te herstarten. Firefox laat na de herstart zien welke nieuwe plugins geïnstalleerd zijn. Toch zijn er manieren om stiekem plugins te installeren en zo toegang tot vertrouwelijke gegevens te krijgen, zegt Sobrier.

Backdoor
Firefox bewaart de informatie over geinstalleerde uitbreidingen in drie bestanden. Worden deze bestanden verwijderd, dan maakt Firefox ze opnieuw aan, zonder de gebruiker hierover te informeren. Een kwaadaardige plugin zou na installatie de bestanden kunnen verwijderen, zodat die aan de lijst wordt toegevoegd, zonder dat de gebruiker dit te zien krijgt.

Malware zou ook bestaande plugin-gegevens kunnen aanpassen. De plugin kan dan bijvoorbeeld een kwaadaardige versie met backdoor als nieuwe "update" downloaden. "Met deze techniek is de kwaadaardige installatie compleet onzichtbaar." Sobrier benadrukt dat er niet voldoende beveiligingsmaatregelen zijn om de integriteit van plugins na de installatie te verzekeren. "Ik hoop dat een toekomstige versie van Firefox aanvullende bescherming aanbrengt om manipulatie van geïnstalleerde plugins te voorkomen."