Исследователь обнаружил уязвимость в Firefox, позволяющую читать все файлы пользователя

10 августа 2015 года

Скриншот PDF.js — PDF модуля Firefox.

6 августа 2015 года исследователь Коди Крьюс (англ. Cody Crews) обнаружил уязвимость в браузере Firefox, позволяющую атакующему читать все личные файлы пользователя. Уязвимость срабатывает, когда вы открываете PDF файл, содержащий опасный код на JavaScript, через встроенный в Firefox просмотрщик PDF.js. Уязвимость закрыта в вышедших практически сразу после публикации версиях Firefox 39.0.3 и ESR 38.1.1.

Также была обнаружена реклама на новостном сайте, которая уже пользовалась этой уязвимостью и искала пароли к учётным записям пользователя — как к локальной, так и к учётным записям на SSH и FTP сайтах. Пользователям рекомендуется сменить пароли, а также пароли учётных записей с Filezilla, FTP сайтами и клиентами, к SQL серверам и к SSH серверам.

На Windows этот код, пользуясь уязвимостью, искал subversion, s3browser, и конфигурационные файлы Filezilla, информацию об учётных записях с .purple и Psi+, и конфигурационные файлы с восьми других разных распространённых клиентов FTP. На Linux код искал обычные конфигурационные файлы, такие как /etc/passwd, и затем файлы .bash_history, .mysql_history, .pgsql_history, настройки и ключи SSH клиента, настройки FTP клиентов, и файлы, наименование которых содержит «pass» или «access». На операционной системе Mac код не искал ничего, хотя технически это было возможно.

Firefox для мобильной операционной системы Android не содержит PDF-модуля, и эта уязвимость его не касается.

Разработчики Firefox оперативно распространили патч, исправляющий ошибку.