最新Firefox 0day远程执行代码漏洞CVE-2016-9079 绿盟科技发布威胁预警通告【转】

火狐浏览器上暴露出一个 JavaScript 0Day漏洞CVE-2016-9079，而且已经被用于攻击 Tor 用户。据绿盟科技预警通告称，“该漏洞是一个存在于SVG Animation模块中的释放后重用(UAF)漏洞，当用户使用Firefox浏览包含恶意Javascript和SVG代码的页面时，会允许攻击者在用户的机器上远程执行代码。受该漏洞影响的平台包括Windows，Mac OS以及Linux”

通告全文见文末。

这个漏洞利用程序据说包含一个HTML文件和一个CSS文件，最初被报告出现在Tor项目 的邮件列表中 。企业安全公司Trail of Bits 分析了这个漏洞利用程序，确定它利用了影响火狐SVG解析器的一个释放后使用（Use-after-Free）漏洞。其他人说这是一个堆缓存溢出漏洞，但Trail of Bits说对其分析结果“相当有信心”。

Trail of Bits的首席执行官Dan Guido在Twitter上解释说，这些类型的漏洞几年前就在WebKit上发现过，但仍未在火狐中得到解决。Guido说，由于内存分区，这个漏洞很难在谷歌Chrome和微软Edge中被利用；但这一措施并未出现在火狐中。

漏洞显然还会影响 Mac OS 中，但目前来看该漏洞主要是针对 Windows 计算机。目前尚不清楚，是谁创造了利用此漏洞，但 Trail of Bits 认为它是重新编写的。

几年前 ，MWR 就在 WebKit 上发布过这一领域的研究成果 ， 看来火狐落后了几年。

— Dan Guido (@dguido) November 30, 2016

The researcher known online as “TheWack0lian” has analyzed the payload delivered by the exploit and determined that it’s similar to the one used by the FBI in 2013 to identify Tor users suspected of being child-pornography traders.

那不是美国联邦调查局唯一一次利用火狐零日漏洞来揭露Tor网络上的罪犯。今年早些时候，Mozilla请求华盛顿西区一个法庭，要求政府公布执法部门2015年逮捕儿童色情嫌犯时利用的一个漏洞。

虽然部分专家认为Tor用户应该在浏览器中禁用JavaScript，避免成为这类攻击的受害者；但其他人指出，禁用JavaScript会导致许多网站无法正常工作。Tor项目对此表示同意。这就是为什么在Tor浏览器中NoScript默认允许JavaScript运行。

绿盟科技《Firefox远程代码执行漏洞威胁预警通告》

2016年11月30日，Mozilla Firefox官网发布了一个紧急更新，修补了编号为CVE-2016-9079的漏洞。该漏洞是一个存在于SVG Animation模块中的释放后重用(UAF)漏洞，当用户使用Firefox浏览包含恶意Javascript和SVG代码的页面时，会允许攻击者在用户的机器上远程执行代码。受该漏洞影响的平台包括Windows，Mac OS以及Linux。详情请见如下链接：

https://www.mozilla.org/en-US/security/advisories/mfsa2016-92/

https://blog.mozilla.org/security/2016/11/30/fixing-an-svg-animation-vulnerability/

漏洞验证程序

POC链接地址如下：

https://bugzilla.mozilla.org/attachment.cgi?id=8815435

绿盟科技威胁预警级别

中级：影响范围可控，危害程度可控，利用难度较高，7*8小时内部应急跟踪，72小时内完成技术分析、产品升级和防护方案。

影响的版本

• Firefox version < 50.0.2
• Firefox ESR < 45.5.1
• Thunderbird < 45.5.1

不受影响的版本

• Firefox version = 50.0.2
• Firefox ESR = 45.5.1
• Thunderbird = 45.5.1

修复方法

官方已经发布了版本更新，建议用户升级到最新版本，下载页面如下：

• Firefox 50.0.2  https://www.mozilla.org/en-US/firefox/50.0.2/releasenotes/
• Firefox ESR 45.5.1   https://www.mozilla.org/en-US/firefox/organizations/all/
• Thunderbird 45.5.1  https://www.mozilla.org/en-US/thunderbird/

绿盟科技安全团队会持续关注事态变化，后续会发布详细的分析报告、产品升级及解决方案，请广大用户随时关注。

绿盟科技威胁事件定级标准

高  影响范围比较广，危害严重，利用难度较低，7*24小时内部应急跟踪，24小时内完成技术分析、产品升级和防护方案。

中  影响范围可控，危害程度可控，利用难度较高，7*8小时内部应急跟踪，72小时内完成技术分析、产品升级和防护方案。

低  影响较小，危害程度较小。

绿盟科技声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。