云安全日报200921:火狐浏览器安卓版发现高危劫持漏洞,需要尽快升级

来源:TechWeb.com.cn2020-09-21 16:16:15

火狐浏览器(Mozilla Firefox)是Mozilla基金会的产品,它是一款开源Web浏览器,引擎反应快,内存占用少。Firefox从2005年开始,每年都被媒体选为年度最佳浏览器。

不过近日,Mozilla修复了一个重要漏洞,该漏洞可以被攻击者利用来劫持同一WiFi网络上的所有安卓版火狐浏览器,并迫使用户访问钓鱼网站之类的恶意网站。以下是漏洞详情:

漏洞详情

此漏洞实际上位于Firefox SSDP组件中。SSDP表示简单服务发现协议机制,通过这一机制,Firefox可以在同一网络上查找其他设备以共享或接收内容(例如,与Roku设备共享视频流)。当找到设备后,Firefox SSDP组件将获取该设备配置存储的XML文件的位置。

不过根据安全研究员发现,在较旧版本的Firefox中,攻击者可以将Android“ intent”命令隐藏在此XML文件中,然后让Firefox浏览器执行“ intent”命令。它可以是一个常规命令,例如让Firefox访问一个链接。

为了更好地理解该漏洞如何被攻击者利用,可以设想一个场景:黑客走进机场或购物中心,连接到WiFi网络,然后在他们笔记本电脑上启动脚本,向网络发送恶意的SSDP数据包。

在这种攻击过程中,任何使用Firefox浏览器浏览网页的Android用户,其移动浏览器都将被劫持并访问恶意站点,或被迫安装恶意Firefox扩展程序。

另一种情况是,攻击者以易受攻击的WiFi路由器为目标。攻击者可以利用这些漏洞来接管控制过时的路由器,然后向公司的内部网络发送垃圾邮件,并迫使员工在网络钓鱼页面上重新进行身份验证。

目前Firefox 79 版本已经修复这一漏洞。不过可能还有很多用户没有更新到新版本,容易受到这一漏洞影响。桌面版本的Firefox用户不会受到影响。

受影响产品和版本

安卓(Android) Firefox v79 以下版本都会受到影响

解决方案

升级Android Firefox v79及更新版本可修复

 

文章来源:

https://www.zdnet.com/article/firefox-bug-lets-you-hijack-nearby-mobile-browsers-via-wifi/

责任编辑:JayJay

标签: 安卓 云安全 火狐浏览器 漏洞

相关文章

要闻

原创

最新

取消