Das NoScript-Addon im Tor-Browser kann mit vergleichsweise einfachen Mitteln deaktiviert werden, wodurch die Identität von Nutzern aufliegen könnte.
Das soll selbst mit der höchsten Sicherheitseinstellung im Webbrowser der Fall sein, und das auf Zero-Day-Exploits spezialisierte Unternehmen Zerodium warnt auf Twitter deutlich davor.
Der Angriff ist eigentlich recht simpel
Wer die Lücke auszunutzen will, muss als Angreifer lediglich den Content-Type einer Internetseite ins JSON-Format ändern („text/html;/json“). Danach blockt NoScript keine aktiven Inhalte mehr und der Angreifer könnte zum Beispiel die IP-Adresse der Besucher dieser Internetseite auslesen.
Wie simpel man das NoScript auf diese Weise austricksen kann, zeigt auch ein kurzes Video zu dem Angriff.
Abhilfe schaffen und wieder sicher mit der Zwiebel unterwegs sein
Ganz sicher kann man mit dem Tor-Browser aktuell nur sein, wenn man mit der neuesten Version 8.0 unterwegs ist, dessen NoScript-Version 10.x ebenfalls als nicht angreifbar gilt.