新闻快讯
< >

快升级!火狐漏洞或已致Tor洋葱泄露IP地址

E安全11月6日讯 Mac和Linux版本的洋葱浏览器最近新出了一个临时补丁,该补丁修复了一个重要漏洞。当用户访问一些特定网址的时候,该漏洞会泄露用户的真实IP地址。

快升级!火狐漏洞或已致Tor洋葱泄露IP地址-E安全

洋葱官方已发布TorMoil漏洞临时补丁

漏洞发现者将漏洞命名为TorMoil,当用户点击 file:// 开头的链接时就会触发这一漏洞。据安全公司We Are Segment的官方爆料称,当Mac和Linux版本的洋葱浏览器试图打开这类链接时,操作系统可能绕开洋葱浏览器,直接将访客链接到一个远程托管主机。该公司已经把漏洞提交给了洋葱浏览器的程序猿。

上周五,洋葱浏览器项目的成员临时向用户推了临时补丁。但在最终补丁出来前,用户即便更新浏览器版本后,打开file://开头的链接,或许还是会出现异常。Windows版本的浏览器暂时还不受影响。

洋葱浏览器官方声明称,他们的补丁只是阻止泄露的权宜之计,由于浏览器无法向预计的那样打开用户输入的file:..链接。特别是在URL栏目输入file://后点击链接结果无效。在新的标签页或新窗口中打开也一样无效。对此的补救措施是将链接拖拽至URL栏目或标签页中。究其原因,问题应该出在编号24136的漏洞上。

We Are Segment CEO Filippo Cavallarin在26号秘密提交了漏洞。次日,洋葱浏览器的程序员与Mozilla程序员就一同推出了一个补丁,但补丁效果不是百分百。所以上周二,他们又推出了一个更为完整的补丁。但官博并未解释为何到周五都未推出适用于Mac和Linux用户7.0.9洋葱浏览器的补丁。洋葱浏览器基于火狐浏览器。这个IP漏洞源于火狐的一个漏洞。

洋葱浏览器官方警告称Mac和Linux上Alpha版本的洋葱浏览器尚未收到补丁。他们打算周一再向这些用户推补丁。同时他们提醒这些用户应该将洋葱浏览器升级至稳定版本。

目前尚无证据表明此漏洞在互联网或暗网被广泛利用以获取用户IP地址。当然,缺乏证据不代表漏洞没有被执法部门或私人侦探等利用。目前漏洞已经曝光,所以很容易被人利用。在Mac或Linux上使用洋葱浏览器的用户需尽快升级,并做好IP地址可能已经被泄露的准备。

洋葱浏览器是一款免费的浏览器,有着极高的私密度。使用该浏览器的用户可以减少很多威胁,比如那些不想被竞争对手收集或贩卖个人数据的用户,以及那些想躲避审查和监控的用户。

值得一提的是,洋葱浏览器的漏洞在市场上售价相当可观,最近零日漏洞中介Zerodium就以一百万美金悬赏其漏洞。

而洋葱团队并未停止对软件的改进,最近该团队又推出了Tor 0.3.2.1-alpha版本,该版本包括对下一代洋葱服务的支持。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。