Corregida vulnerabiliad en el addon Pocket para Firefox

Addon Pocket para Firefox
Addon Pocket para Firefox

Pocket para Firefox es un complemento o addon disponible para los principales navegadores, como Google Chrome o Firefox, en el que se ha descubierto una vulnerabilidad grave. Pocket se utiliza para salvar datos y marcadores que podremos visitar más tarde sin esfuerzo.

Una vulnerabilidad en la parte del servidor provoca que los atacantes dispongan de acceso a todos los datos de usuario, llegando incluso a sobre-escribir sus listas de lectura para poder incluir enlaces maliciosos en ellas.

Debido al pobre diseño de la aplicación en cuanto a “cómo se comunica” a través de la red, el investigador encargado de analizarla -Clint Ruoho- fué capaz de interceptar toda la información referente a direcciones IP, direcciones web grabadas y, con ayuda de algunas redirecciones, accedió al archivo etc/passwd que contiene una lista con las cuentas del sistema.

Aplicaciones similares de Pocket para Firefox necesitan de alguna lógica para administrar las redirecciones HTTP en los enlaces…añadí un enlace a mi cola de guardado y resultó de alguna forma incluir una redirección maliciosa. Tras actualizar la aplicación Pocket en mi teléfono Android, la lista de lectura incluía el archivo file:///etc/passwd. Al hacer lick sobre dicho elemento se mostraron todos los contenidos del archivo /etc/passwd.

Pocket para Firefox pone en peligro tus páginas

Explotando, además, otra serie de vulnerabilidades, Ruoho cree que un atacante podría recuperar el archivo etc/passwd junto con las claves SSH privadas desde el directorio EC2 auto-administrado del usuario, obteniendo direcciones IP o incluso SSH dentro de las direcciones IP privadas para el servidor backend de Pocket, empleando la clave SSH privada.

pocket para firefox 2

Un atacante podría haber comprometido la app Pocket para Firefox y haber obtenido acceso total a la información del usuario dentro del complemento y, en teoría, manipularla para conseguir que se sincronicen nuevas URL con los dispositivos del usuario. Podrían hacer cosas como redirecciones a exploits en la parte del cliente. Además, existe un problema de privacidad si la gente está salvando enlaces fuera de su intranet corporativa hacia Pocket, que pudieran contener documentos internos o credenciales de inicio de sesión.

Conclusiones

Tras publicarse la vulnerabilidad de forma responsable por parte del investigador, la vulnerabilidad ha sido resuelta y los usuarios ya habrán recibido la actualización que los deja a salvo. Sin embargo, no deja de ser pura suerte para Pocket que el investigador haya decidido ayudarles, incluso aunque la compañía no tenga un programa de incentivos en estos casos.

Autor: Alejandro Sánchez

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.