在黑客公布了漏洞细节后，Mozilla公司正在修补这一Firefox浏览器漏洞，该漏洞会让犯罪者在受害者的机器上运行未授权软件。
该漏洞存在于Firefox的URL处理器组件中，也是Mozilla周二发布的另一漏洞的来源。
第二个漏洞由分别来自于Verisign股份有限公司和企业合伙人Ernst & Young的安全顾问Billy Rios和 Nathan McFeters在周二发布。
来自nCircle Network Security 的安全研究工程师Tyler Reguly说，像第一个漏洞一样，这个漏洞也能使黑客进入受害者电脑中不用授权启动程序，它们两者都涉及到URL处理程序，只是程序中不同的错误的区别。
Reguly还说到，即使由Rios 和 McFeters发布的代码只能用来启动受害者电脑中已经安装的程序，但如果被犯罪者利用仍然是非常危险的。它能让你运行存在于受害者电脑中的任何程序，你可以用它来做相当坏的事情。比如，使用command-line FTP从某处的服务器下载恶意文件然后执行此文件。
Reguly说受害者会被骗点击恶意链接而导致攻击发生。
Mozilla's的首席安全官Window Snyder表明她的团队正在校验与修补这一最新漏洞.
自从安全研究员Thor Larholm指出Internet Explorer (IE) 和 Firefox互动作用后可以不经授权启动用户电脑里的软件，Firefox的URL处理器就成为了Mozilla的一个头疼问题。攻击过程是IE从一个网站下载畸形数据，然后发送给能够不用授权启动软件的Firefox。
微软和Mozilla在谁存在过失的问题上态度不一致。最初Snyder说攻击不会只在Firefox上单独发生，微软应改变IE向其他程序传送数据的方式。微软则表示问题出在Firefox上面。
在周二公布第一个URL处理器漏洞细节的同时，Snyder承认她错了，“我们以前认为问题发生在IE上。原来，Firefox也有问题，”她说，“我们应该早就面对这一情况。”
Mozilla计划在即将发行的2.0.0.6浏览器中解决这个问题.Snyder没有说明Billy Rios公布的漏洞何时出补丁。
发表于：
2007-08-13 09:25 跳跳 阅读(398)
评论(0) 收藏(0)
好文推荐
作者该类其他文章：