骇客公佈Mozilla火狐流览器漏洞攻击代码

在骇客公佈了漏洞细节后，Mozilla公司正在修补这一Firefox流览器漏洞，该漏洞会让犯罪者在受害者的机器上运行未授权软体。

该漏洞存在於Firefox的URL处理器组件中，也是Mozilla週二发佈的另一漏洞的来源。

第二个漏洞由分别来自於Verisign股份有限公司和企业合伙人Ernst & Young的安全顾问Billy Rios和 Nathan McFeters在週二发佈。

来自nCircle Network Security 的安全研究工程师Tyler Reguly说，像第一个漏洞一样，这个漏洞也能使骇客进入受害者电脑中不用授权啟动程式，它们两者都涉及到URL处理程式，只是程式中不同的错误的区别。

Reguly还说到，即使由Rios 和 McFeters发佈的代码只能用来啟动受害者电脑中已经安装的程式，但如果被犯罪者利用仍然是非常危险的。它能让你运行存在于受害者电脑中的任何程式，你可以用它来做相当坏的事情。比如，使用command-line FTP从某处的伺服器下载恶意档然后执行此档。

Reguly说受害者会被骗点击恶意链结而导致攻击发生。

Mozilla的首席安全官Window Snyder表明她的团队正在校验与修补这一最新漏洞。

自从安全研究员Thor Larholm指出Internet Explorer (IE) 和 Firefox互动作用后可以不经授权啟动用户电脑里的软体，Firefox的URL处理器就成为了Mozilla的一个头疼问题。攻击过程是IE从一个网站下载畸形资料，然后发送给能够不用授权啟动软体的Firefox。

微软和Mozilla在谁存在过失的问题上态度不一致。最初Snyder说攻击不会只在Firefox上单独发生，微软应改变IE向其他程式传送资料的方式。微软则表示问题出在Firefox上面。

在週二公佈第一个URL处理器漏洞细节的同时，Snyder承认她错了，“我们以前认为问题发生在IE上。原来，Firefox也有问题，”她说，“我们应该早就面对这一情况。”

Mozilla计画在即将发行的2.0.0.6流览器中解决这个问题。Snyder没有说明Billy Rios公佈的漏洞何时出补丁。