Lỗ hổng được nhà nghiên cứu Chris Moberly phát hiện trong phiên bản Firefox 68 dành cho Android. Lỗ hổng đã được báo cáo tới Mozilla. Công ty đã phản hồi rằng Firefox Fenix mới (bắt đầu từ phiên bản 79) không bị ảnh hưởng.
Theo Chris Moberly, lỗ hổng này liên quan tới việc Firefox gửi định kỳ những thông báo SSDP (Simple Service Discovey Protocol - một giao thức được dùng để phát hiện các dịch vụ mạng) đến các thiết bị khác được kết nối với cùng một mạng, và tìm kiếm các thiết bị màn hình thứ hai để truyền (second-screen device).
Bất kỳ thiết bị nào trong mạng cục bộ đều có thể phản hồi các quy trình truyền phát này và cung cấp một vị trí để lấy các thông tin chi tiết về thiết bị UPnP (Universal Plug and Play - một giao thức mạng giúp các thiết bị với khả năng kết nối mạng trong gia đình có khả năng nhận ra nhau và truy cập một số dịch vụ nhất định của nhau), sau đó, Firefox sẽ cố gắng truy cập vào vị trí trên, bắt đầu tìm kiếm một file XML phù hợp với các thông số kỹ thuật của UPnP.
Theo báo cáo mà Moberly gửi cho Firefox, công cụ SSDP trên trình duyệt Firefox của nạn nhân có thể bị đánh lừa để kích hoạt một Android intent, đơn giản bằng cách thay thế vị trí của file XML trong các gói phản hồi với một thông báo được tạo đặc biệt dẫn đến URI của Android intent đó.
Từ đó, kẻ tấn công kết nối với một mạng Wi-Fi mục tiêu có thể chạy một SSDP server độc hại trên thiết bị của chúng và kích hoạt các lệnh dựa trên intent trên các thiết bị Android lân cận thông qua Firefox, mà không yêu cầu bất kỳ tương tác nào từ nạn nhân.
Chris Moberly cho biết: "Lỗ hổng này tương tự RCE (thực thi mã từ xa) trong đó một kẻ tấn công từ xa (trên cùng mạng WiFi) có thể kích hoạt thiết bị để thực thi các tính năng trái phép mà không cần sự tương tác từ người dùng cuối. Tuy nhiên, việc thực thi đó không hoàn toàn tùy ý".
Theo Chris Moberly, nó có thể nhắm mục tiêu vào những nơi có chứa lỗ hổng đã biết trong các ứng dụng. Hoặc nó có thể sử dụng theo cách tương tự như các cuộc tấn công lừa đảo, theo đó, các trang web bị nhắm mục tiêu mà không hề hay biết nên người dùng vẫn nhập một số thông tin nhạy cảm hoặc đồng ý cài đặt ứng dụng có chứa mã độc. Bằng chứng về sự khai thác (POC) cho thấy hành động tải trực tiếp tệp tin .xpi sẽ dẫn đến việc lây nhiễm mã độc cho trình duyệt.
Moberly đã công bố các chi tiết kỹ thuật và bằng chứng về sự khai thác. Nhà nghiên cứu Lukas Stefanko của ESET đã xác nhận những hành động khai thác đó và đăng tải một video cho thấy kẻ tấn công có thể mở các trang web tùy ý trên điện thoại như thế nào.
