Mozilla修补Firefox十处高危漏洞

据国外媒体报道, Mozilla基金会在上周二对它的开放源浏览器Firefox升级到2.0.0.13版本时,修补了浏览器中的十处漏洞,其中有半数的漏洞标记为“危 急”.虽然有与Firefox相同的五个漏洞,但是新分离出来的Mozilla Messaging暂时还不能为它的Thunderbird电子邮件用户提供对应的升级来进行修补.Mozilla的六个报告列出了5个Firefox中标为“危急”的漏洞,三个“高”,一个“中”,一个“低”.

在这些危急性漏洞里,两个就可以使浏览器或JavaScript引擎崩溃,或者更多的事故.“部分的这些事故是在某些情况下记忆缺陷的证据,我们认为,在足够努力的情况下至少部分这些可以被利用来运行任意代码.”Mozilla在报告2008-15中写道.

Mozilla也在2.0.0.13版本中修补了潜在身份泄漏、诱骗和跨站点脚本漏洞.针对LiveConnect导致风暴眼的漏洞的修补的具体细节见2008-18.

“Sun公司已经升级了Java Runtime Environment来修补这一问题,Mozilla也同样增加了一个针对LiveConnect的补丁来保护还没有使用最新Java版本的用户.”Mozilla表示.

这10个漏洞都是由SeaMonkey项目修补的,后者是一个独立的开放源部门,主要开发多功能浏览器套件.

同时,Thunderbird电子邮件用户也遭受着2008-14和2008-15 报告中列出的5个危急漏洞的影响.“Thunderbird与Firefox共享一个浏览器引擎,所以如果JavaScript想涉及邮件的话也是有可能的,”两个通报中的第一个中写道.“这不是默认设置,我们强烈劝阻用户运行邮件中的JavaScript.”

修复这些漏洞的Thunderbird 2.0.0.13版本的发布时间尚未确定.据Mozilla Messaging的负责人David Ascher的意见,电子邮件的升级将在Firefox升级几星期之后进行.

在上周的一篇博客中,Ascher列举了几条为什么不可能同时推出Thunderbird和Firefox升级的原因.“部分原因是因为Thunderbird升级过程的推出还没足够自动化,另外部分原因是因为没有足够已具备合适训练的人.”

Ascher表示,JavaScript在Firefox中是默认自动打开,但在 Thunderbird中没有.“如果为了减轻某些人利用从Firefox升级中得到的信息来试图攻击Thunderbird用户的风险的话,我们可以延迟Firefox升级的发布,直到Thunderbird已做好准备,但这将意味着我们让超过150万用户处于危险状态.所以我们尽可能早地推出 Firefox的安全升级,再随后尽可能早地推出Thunderbird的安全升级.”