Esta vulnerabilidad podría permitir la realización de un ataque man-in-the-middle si un hacker es capaz de obtener un certificado falso para addons.mozilla.org que le permita suplantar los servidores de Mozilla. Como resultado, puede enviar actualizaciones maliciosas para NoScript, HTTPS Everywhere y otras extensiones de Firefox que estén instaladas en el navegador. Una vez explotada la vulnerabilidad, el atacante puede ejecutar código arbitrario sobre el ordenador de la víctima.
Aunque tendría que ser complicado obtener un certificado fraudulento para addons.mozilla.org de cualquiera de los cientos de autoridades certificadoras en las cuales Firefox confía, no se puede negar que este hecho abre la puerta a que hackers puedan llevar a cabo poderosos ataques. El experto en seguridad que ha descubierto la vulnerabilidad comenta que los atacantes necesitarían unos 100.000 dólares para poder lanzar ataques multiplataforma.
Sin embargo, otro investigador ha publicado que la vulnerabilidad solo afecta a la versión estable del navegador y que no está presente en la rama Nightly. Por otro lado, argumenta que esto es debido a que Firefox utiliza una fijación de certificados personalizada en lugar de HPKP, que es el estándar aprobado por la IETF.
Firefox 49, que apareció ayer, muy posiblemente ya incorpore el parche que elimine esta vulnerabilidad.
Fuente: Muyseguridad.net
