Mozilla修补Firefox十处漏洞 半数"危急"

2008年3月31日消息，据国外媒体报道，Mozilla基金会在上周二对它的开放源浏览器Firefox升级到2.0.0.13版本时，修补了浏览器中的十处漏洞，其中有半数的漏洞标记为“危急”。虽然有与Firefox相同的五个漏洞，但是新分离出来的Mozilla Messaging暂时还不能为它的Thunderbird电子邮件用户提供对应的升级来进行修补。

Mozilla的六个报告列出了5个Firefox中标为“危急”的漏洞，三个“高”，一个“中”，一个“低”。

在这些危急性漏洞里，两个就可以使浏览器或JavaScript引擎崩溃，或者更多的事故。“部分的这些事故是在某些情况下记忆缺陷的证据，我们认为，在足够努力的情况下至少部分这些可以被利用来运行任意代码。”Mozilla在报告2008-15中写道。

Mozilla也在2.0.0.13版本中修补了潜在身份泄漏、诱骗和跨站点脚本漏洞。针对LiveConnect导致风暴眼的漏洞的修补的具体细节见2008-18。

“Sun公司已经升级了Java Runtime Environment来修补这一问题，Mozilla也同样增加了一个针对LiveConnect的补丁来保护还没有使用最新Java版本的用户。”Mozilla表示。

这10个漏洞都是由SeaMonkey项目修补的，后者是一个独立的开放源部门，主要开发多功能浏览器套件。

同时，Thunderbird电子邮件用户也遭受着2008-14和2008-15 报告中列出的5个危急漏洞的影响。“Thunderbird与Firefox共享一个浏览器引擎，所以如果JavaScript想涉及邮件的话也是有可能的，”两个通报中的第一个中写道。“这不是默认设置，我们强烈劝阻用户运行邮件中的JavaScript。”

修复这些漏洞的Thunderbird 2.0.0.13版本的发布时间尚未确定。据Mozilla Messaging的负责人David Ascher的意见，电子邮件的升级将在Firefox升级几星期之后进行。

在上周的一篇博客中，Ascher列举了几条为什么不可能同时推出Thunderbird和Firefox升级的原因。“部分原因是因为Thunderbird升级过程的推出还没足够自动化，另外部分原因是因为没有足够已具备合适训练的人。”

Ascher表示，JavaScript在Firefox中是默认自动打开，但在 Thunderbird中没有。“如果为了减轻某些人利用从Firefox升级中得到的信息来试图攻击Thunderbird用户的风险的话，我们可以延迟Firefox升级的发布，直到Thunderbird已做好准备，但这将意味着我们让超过150万用户处于危险状态。所以我们尽可能早地推出 Firefox的安全升级，再随后尽可能早地推出Thunderbird的安全升级。”

【相关文章】

• Firefox重大安全漏洞可导致密码失窃