该漏洞存在于Firefox的URL处理器组件中，也是Mozilla周二发布的另一漏洞的来源。
第二个漏洞由分别来自于Verisign股份有限公司和企业合伙人Ernst&Young的安全顾问BillyRios和NathanMcFeters在周二发布。
来自nCircleNetworkSecurity的安全研究工程师TylerReguly说，像第一个漏洞一样，这个漏洞也能使黑客进入受害者电脑中不用授权启动程序，它们两者都涉及到URL处理程序，只是程序中不同的错误的区别。
Reguly还说到，即使由Rios和McFeters发布的代码只能用来启动受害者电脑中已经安装的程序，但如果被犯罪者利用仍然是非常危险的。它能让你运行存在于受害者电脑中的任何程序，你可以用它来做相当坏的事情。比如，使用command-lineFTP从某处的服务器下载恶意文件然后执行此文件。
Reguly说受害者会被骗点击恶意链接而导致攻击发生。
Mozilla's的首席安全官WindowSnyder表明她的团队正在校验与修补这一最新漏洞。
自从安全研究员ThorLarholm指出InternetExplorer(IE)和Firefox互动作用后可以不经授权启动用户电脑里的软件，Firefox的URL处理器就成为了Mozilla的一个头疼问题。攻击过程是IE从一个网站下载畸形数据，然后发送给能够不用授权启动软件的Firefox。
微软和Mozilla在谁存在过失的问题上态度不一致。最初Snyder说攻击不会只在Firefox上单独发生，微软应改变IE向其他程序传送数据的方式。微软则表示问题出在Firefox上面。
在周二公布第一个URL处理器漏洞细节的同时，Snyder承认她错了，"我们以前认为问题发生在IE上。原来，Firefox也有问题，"她说，"我们应该早就面对这一情况。"
Mozilla发行的2.0.0.6浏览器中解决这个问题 Snyder没有说明BillyRios公布的漏洞何时出补丁。
网友评论