IT-Sicherheit: Ergebnisse des Mozilla-VPN-Audits veröffentlicht

IT-Sicherheitsexperten haben Mozillas VPN-Dienst untersucht. Unter 16 entdeckten Problemen fanden sie eine ausnutzbare Schwachstelle.

Artikel veröffentlicht am , Anna Biselli
Mozilla VPN gibt es für verschiedene Betriebssysteme.
Mozilla VPN gibt es für verschiedene Betriebssysteme. (Bild: Kaitlyn Baker/unsplash.com)

Der VPN-Dienst des Browserherstellers Mozilla ist seit April 2021 auch in Deutschland verfügbar. Nun veröffentlichte Mozilla die Ergebnisse eines Sicherheitsaudits, das von dem Berliner Pentesting-Unternehmen Cure53 durchgeführt wurde.

Stellenmarkt
  1. Produktmanager Customer IAM Services (CIAM) (m/w/d)
    Helios IT Service GmbH, Berlin
  2. Junior IT-Service Operations Engineer (m/w/d)
    Behörde für Justiz und Verbraucherschutz, Hamburg
Detailsuche

Laut dem Bericht fanden die IT-Sicherheitsforscher 16 sicherheitsrelevante Probleme bei Mozilla VPN, von denen sie jedoch nur eine als Schwachstelle bezeichnen. "Die übrigen fünfzehn Probleme sollte man als eine Sammlung allgemeiner Schwächen mit geringerem Ausnutzungspotenzial betrachten", heißt es in dem Bericht. Laut Cure53 hat sich das Sicherheitsniveau im Vergleich zu einem früheren Audit im Sommer 2020 deutlich erhöht.

Bei der im Audit entdeckten Schwachstelle geht es darum, dass das Mozilla VPN unverschlüsselte HTTP-Requests an bestimmte IP-Adressen außerhalb des Tunnels erlaubt. Dazu müsse die Captive-Portal-Erkennung aktiviert sein. Bei Captive Portals handelt es sich etwa um Vorschaltseiten, die bei WLANs zum Einsatz kommen und die HTTP-Zugriffe auf eine definierte Webseite weiterleiten. Ein Angreifer könnte über den Mechanismus unter Umständen Netzwerkverkehr mitschneiden und Nutzer deanonymisieren. Laut Cure53 wäre dazu jedoch ein "starkes, staatlich-finanziertes Angreifermodell" vorausgesetzt.

"Wir haben diese Feststellung akzeptiert, da die Vorteile der Captive-Portal-Erkennung für den Benutzer das Sicherheitsrisiko überwiegen", so Mozilla. Viele andere Anwendungen würden eine ähnliche Lösung nutzen. Cure53 empfiehlt, die Erkennung standardmäßig zu deaktivieren und mit einer Sicherheitswarnung zu versehen. Den Großteil der weiteren beobachteten Probleme hat Mozilla im Juli behoben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Padina42 02. Sep 2021 / Themenstart

Die Hersteller von Kopierern müssen an die VG-Wort für das Kopieren von Büchern pauschal...

zacha 02. Sep 2021 / Themenstart

Okay, das Finding geht ungefähr so. Der Angreifer ist in der Lage den Traffic mitzuesen...

prolemiker 02. Sep 2021 / Themenstart

Ach, dann ist ja gut. Ich mach mir nur sorgen um Kleinkriminelle und Rechtsradikale. Der...

Kommentieren



Aktuell auf der Startseite von Golem.de
Y - The Last Man
Eine Welt der Frauen

Vor knapp 20 Jahren wurde das erste Comic-Heft veröffentlicht, einige Jahre war die Fernsehserie Y - The Last Man in Entwicklung. Jetzt ist sie endlich bei Disney+.
Eine Rezension von Peter Osteried

Y - The Last Man: Eine Welt der Frauen
Artikel
  1. Huawei und Xiaomi: Litauen warnt vor chinesischen 5G-Smartphones
    Huawei und Xiaomi
    Litauen warnt vor chinesischen 5G-Smartphones

    Die litauische Regierung rät von der Nutzung chinesischer Smartphones ab. Diese könnten heruntergeladene Inhalte zensieren.

  2. CMOS-Batterie: Firmware-Update hat PS4 offenbar vor ewigem Aus gerettet
    CMOS-Batterie
    Firmware-Update hat PS4 offenbar vor ewigem Aus gerettet

    Sony hat mit Firmware 9.0 für die Playstation 4 ein großes Problem gelöst: eine leere CMOS-Batterie kann die Konsole nicht mehr zerstören.

  3. Call of Duty: Vanguard schon in der Beta von Cheatern geplagt
    Call of Duty
    Vanguard schon in der Beta von Cheatern geplagt

    Die uralte Code-Basis fällt Activision auf die Füße. Schon jetzt klagen Spieler der Beta-Version des neuen Call of Duty über Cheater.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Black Week bei NBB: Bis 50% Rabatt (u. a. MSI 31,5" Curved WQHD 165Hz 350€) • Gran Turismo 7 25th Anniversary PS4/PS5 vorbestellbar 99,99€ • Samsung T7 Portable SSD 1TB 105,39€ • PS5 bei Amazon zu gewinnen • Astro Gaming A20 + Deathloop PS5 139,99€ [Werbung]
    •  /