Mozilla zal aanstaande dinsdag 20 september met een beveiligingsupdate komen voor een ernstige kwetsbaarheid waardoor een aanvaller gebruikers die extensies hebben geïnstalleerd met malware kan infecteren. Het beveiligingslek werd gisteren al in Tor Browser gepatcht, dat op Firefox is gebaseerd.

Firefox installeert automatisch updates voor extensies via een https-verbinding. Daarbij maakt de browser ook gebruik van certificaatpinning voor het domein addons.mozilla.org. Certificaatpinning zorgt ervoor dat Firefox alleen certificaten accepteert die door bepaalde certificaatautoriteiten zijn uitgegeven. In het geval een aanvaller toch een certificaat voor addons.mozilla.org weet te bemachtigen, kan hij gebruikers niet via het updaten van extensies aanvallen, aangezien Firefox het gebruikte certificaat niet zal accepteren.

Door een fout in Firefox blijkt dit proces sinds 10 september dit jaar voor Firefox 48 en sinds 3 september dit jaar voor Firefox ESR 45.3.0 niet meer te werken. Een aanvaller die zich tussen Firefoxgebruikers en het internet bevindt en over een ssl-certificaat voor addons.mozilla.org beschikt kan zo kwaadaardige updates voor geïnstalleerde extensies verspreiden die automatisch bij de gebruiker worden geïnstalleerd. Het probleem speelt niet bij Firefox-gebruikers die geen extensies hebben geïnstalleerd. Bij veel gebruikers is dit echter wel het geval.

Volgens Mozilla zijn er geen aanwijzingen dat er een vals certificaat voor addons.mozilla.org is uitgegeven. Het zou echter vooral een probleem voor Tor Browser-gebruikers kunnen zijn die zich tegen landen en opsporingsdiensten willen beschermen. Daarom kwam het Tor Project gisteren al met een update voor Tor Browser. De update die het probleem in Firefox verhelpt zal Mozilla aanstaande dinsdag uitrollen.