Zerodium披露用于暗网的Tor浏览器漏洞

Zerodium公司上周披露了一个NoScript漏洞，即使使用最高安全级别，也可利用该漏洞在Tor浏览器中执行任意JavaScript代码。

Zerodium在Twitter上提供了有关如何复制该漏洞的说明。不过新发布的Tor Browser 8不受影响。

虽然Zerodium将此问题描述为Tor浏览器中的漏洞或后门，但该缺陷实际上影响了NoScript，这是一种流行的Firefox扩展，旨在通过允许JavaScript、Java和Flash插件在受信任的网站上执行来保护用户免受恶意脚本的侵害。

而Tor浏览器基于Firefox，默认情况下包含NoScript。

创建NoScript的意大利开发人员Giorgio Maone在发布5.1.8.7版本的大约两个小时内修补了该漏洞。Maone指出，只有NoScript 5的“Classic”分支受到影响。

开发人员解释说，由于“NoScript阻止浏览器内JSON查看器的解决方法”，该错误仍然存在。他还指出，该漏洞是在2017年5月随着NoScript 5.0.4的发布而引入的。

Tor项目代表也强调，这不是Tor浏览器零日漏洞。

“这是NoScript中的一个错误，而不是Tor浏览器的。”

Zerodium的首席执行官Chaouki Bekrar表示，即使Tor浏览器设置为“最安全”的安全级别，该漏洞依然可以绕过NoScript提供的保护。

“如果用户将其Tor浏览器安全级别设置为'最安全'以阻止来自所有网站的JavaScript（例如，防止浏览器漏洞利用或数据收集），该漏洞将允许网站或隐藏服务绕过所有NoScript限制并执行任何JavaScript。尽管使用了最高安全级别的代码，但它完全无效，”Bekrar解释道。

Zerodium是一家收购零日漏洞的土豪公司，苹果的漏洞、微软的漏洞、微信的漏洞等等，开出的价码经常是100万美元级别。

用于暗网的“高端Tor浏览器漏洞”也在Zerodium公司的高价收购列表中，据说是为了zhengfu客户。

其声称将利用这些漏洞来“打击犯罪和虐待儿童，并创造一个更好、更安全的网络世界。”

当被问及是否担心漏洞可能被恶意利用时，Zelodium表示已经披露了这一漏洞，并强调Tor Browser的第8版没有受到影响，强烈建议用户升级到最新版本。

更多有趣科技文章，欢迎关注我们：

http://www.wttech.org/