前言
2016年11月30日 Tor、FireFox發(fā)布公告修復(fù)了一個(gè)同時(shí)影響Windows、Mac OS X用戶的惡意代碼執(zhí)行0day漏洞，受害者包括Tor的使用者和Firefox瀏覽器的部分用戶。
有消息稱本次修復(fù)的漏洞可能跟2013年的一起FBI發(fā)起的針對(duì)TOR用戶的攻擊事件有關(guān)，詳情參考：
http://arstechnica.com/security/2013/08/attackers-wield-firefox-exploit-to-uncloak-anonymous-tor-users/
FireFox發(fā)布安全補(bǔ)丁公告：
https://www.mozilla.org/en-US/security/advisories/mfsa2016-92/
Tor發(fā)布安全補(bǔ)丁公告：
https://blog.torproject.org/blog/tor-browser-607-released
Tor的官方網(wǎng)站上最先發(fā)布了有關(guān)這個(gè)未知的Firefox漏洞的信息，信息中包括幾百行JavaScript。另外還有一個(gè)警告：這是一個(gè)JavaScript利用，現(xiàn)在常被用來針對(duì)Tor瀏覽器。Tor創(chuàng)始人Roger Dingledine很快證實(shí)了這個(gè)未知漏洞存在，并表示來自Mozilla的工程師正在嘗試修復(fù)。
攻擊者使用Firefox的漏洞揭露Tor的匿名用戶
負(fù)責(zé)分析代碼的安全研究人員表示，這些代碼利用了一個(gè)內(nèi)存腐敗漏洞，從而允許惡意代碼在Windows電腦上執(zhí)行。早在2013年，聯(lián)邦調(diào)查局曾經(jīng)利用一家隱藏在Tor中兒童色情網(wǎng)站，辨認(rèn)瀏覽過網(wǎng)站的匿名用戶的身份。
來著Twitter 名為@TheWack0lian的獨(dú)立研究員認(rèn)為，當(dāng)時(shí)傳遞的惡意負(fù)載與這次幾乎完全相同。當(dāng)時(shí)FBI承認(rèn)，這個(gè)利用被嵌入在一個(gè)名為Freedom Hosting的服務(wù)的Web頁(yè)面中。它使用的載荷和2013年的那些幾乎完全相同，被利用的漏洞執(zhí)行的代碼也和2013年Tor瀏覽器利用中的那些非常相似。大部分的代碼是相同的，只改變了一小部分?！?/p>
2013年的那次攻擊向服務(wù)器發(fā)送了一個(gè)惟一的標(biāo)識(shí)符，服務(wù)器的IP地址為65.222.202.54，而在最新的這次攻擊中，數(shù)據(jù)被發(fā)送到了IP地址為5.39.27.226的服務(wù)器。后一個(gè)IP地址分配給了法國(guó)Web主機(jī)OVH。
另一個(gè)分析過代碼的研究員Joshua Yabut告訴Ars，代碼利用了堆溢出漏洞，需要在易受攻擊的電腦上激活JavaScript。它在Windows系統(tǒng)上進(jìn)行遠(yuǎn)程代碼執(zhí)行是100%有效的。負(fù)載的內(nèi)存單元的調(diào)整取決于被利用Firefox的版本。版本范圍從41到50，而45 ESR是最新的Tor瀏覽器所使用的版本。這些調(diào)整表明，攻擊者廣泛地進(jìn)行攻擊測(cè)試，為的就是確保它在多個(gè)版本的Firefox上生效。這個(gè)利用能夠直接調(diào)用kernel32.dll——Windows操作系統(tǒng)的核心部分。
Mozilla的一名代表表示，工作人員已經(jīng)意識(shí)到這個(gè)漏洞的存在，正在試圖修復(fù)。這個(gè)漏洞已經(jīng)被廣泛利用了，在完整的源代碼被公布出來之后，會(huì)有更多人掌握它。在補(bǔ)丁出現(xiàn)之前，F(xiàn)irefox用戶應(yīng)該盡可能地使用其它瀏覽器，或者至少應(yīng)該在多數(shù)網(wǎng)站上禁用JavaScript。避免使用Tor ，去匿名化攻擊可能會(huì)構(gòu)成重大威脅。Tor用戶也可以禁用JavaScript，雖然關(guān)閉它違背了Tor的官方建議。
修復(fù)建議：
Firefox用戶請(qǐng)更新到如下版本：
Firefox 50.0.2
Firefox ESR 45.5.1
Thunderbird 45.5.1
Tor用戶請(qǐng)更新到如下版本：
Tor Browser 6.0.7
- 消息稱去年全球IT支出超過5萬億美元 數(shù)據(jù)中心系統(tǒng)支出大幅增加
- 2025年全球數(shù)據(jù)中心：數(shù)字基礎(chǔ)設(shè)施的演變
- 谷歌押注多模態(tài)AI，BigQuery湖倉(cāng)一體是核心支柱
- 數(shù)字化轉(zhuǎn)型支出將飆升：到2027年將達(dá)到4萬億美元
- 量子與人工智能：數(shù)字化轉(zhuǎn)型的力量倍增器
- 華為OceanStor Dorado全閃存存儲(chǔ)榮獲CC認(rèn)證存儲(chǔ)設(shè)備最高認(rèn)證級(jí)別證書
- 2024年終盤點(diǎn) | 華為攜手伙伴共筑鯤鵬生態(tài)，openEuler與openGauss雙星閃耀
- 特朗普宣布200億美元投資計(jì)劃，在美國(guó)多地建設(shè)數(shù)據(jù)中心
- 工信部：“點(diǎn)、鏈、網(wǎng)、面”體系化推進(jìn)算力網(wǎng)絡(luò)工作 持續(xù)提升算網(wǎng)綜合供給能力
- 2025年超融合基礎(chǔ)設(shè)施的4大趨勢(shì)
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
