El error en Firefox permite que los navegadores sean secuestrados a través de Wi-Fi
Le recomendamos que actualice inmediatamente Firefox para Android a la última versión si aún no lo ha hecho.
Mozilla solucionó un error que podría secuestrar todos los navegadores Firefox en teléfonos inteligentes Android en la misma red Wi-Fi y obligar a los usuarios a navegar a sitios maliciosos, según ZDNet.
El error fue descubierto por Chris Moberly, un investigador de seguridad australiano que trabaja para GitLab.
La vulnerabilidad real está en el componente SSDP de Firefox. SSDP significa Simple Service Discovery Protocol y es el mecanismo mediante el cual Firefox encuentra otros dispositivos en la misma red para compartir o recibir contenido (como compartir secuencias de video con un dispositivo Roku).
Cuando se descubren dispositivos, el componente SSDP de Firefox recupera la ubicación del archivo XML que almacena la configuración del dispositivo.
Sin embargo, Moberly descubrió que en versiones anteriores de Firefox, era posible ocultar los comandos de "intención" de Android en este XML y obligar al navegador a ejecutar una "intención", que podría ser un comando normal, como decirle a Firefox que acceda a un enlace. .
Ejemplo de un escenario operativo
Para comprender mejor cómo se puede explotar este error, imagine un escenario en el que un pirata informático ingresa a un aeropuerto o centro comercial, se conecta a una red Wi-Fi y luego ejecuta un script en su computadora portátil que envía paquetes SSDP con formato incorrecto a través de la red .
Cualquier propietario de Android que use el navegador Firefox durante este tipo de ataque se verá obligado a ir a un sitio malicioso o instalar una extensión maliciosa.
Otro escenario: un atacante apunta a enrutadores WiFi vulnerables. Los piratas informáticos pueden usar exploits para secuestrar enrutadores obsoletos y luego infiltrarse en la red interna de una empresa para redirigir a los empleados a páginas de phishing, obligándolos a volver a autenticarse.
A principios de esta semana, Moberly publicó un código que puede usarse para llevar a cabo este tipo de ataques. A continuación se muestran dos videos en los que Moberly y un investigador de seguridad de ESET demuestran el ataque.
Moberly dijo que informó el error a Mozilla a principios de este verano.
El error se ha corregido en Firefox 79; sin embargo, es posible que muchos usuarios no tengan la última versión. Firefox para escritorio no se vio afectado.
Le recomendamos que actualice inmediatamente Firefox para Android a la última versión si aún no lo ha hecho.