隐藏17年的Firefox文件窃取漏洞，可结合WhatsApp钓鱼窃取文件

前些日子，火狐浏览器官方刚发布安全更新，称修复了一个存在于 Firefox 全平台所有版本中的远程代码执行漏洞，除此之外还有一个绕过沙箱的漏洞同样被在野利用，该漏洞已经被用于野外攻击，最后释放的是Mac后门。攻击者可能利用此漏洞通过诱使用户访问恶意网页触发漏洞从而 获得对用户系统的控制。

而就在这几天，火狐又被曝漏洞，声称漏洞17年前就被上报过，起初火狐的决定是不修复(现在正在修复中)，认为没有利用场景，因此安全研究员找到WhatsApp作为背锅侠，并作为利用场景曝光在twitter上，希望火狐能够修补该漏洞，从而成功引起了火狐的重视。

下面就对该漏洞进行BB吧！

一份报告显示，由于不正确地实施同源策略，Firefox版本（目前为67版）容易受到本地文件盗窃攻击（在任何支持的操作系统上）

应该注意，此技术仅允许恶意HTML文件访问同一文件夹及其子文件夹中的其他文件。

攻击场景如下所示：

1、攻击者通过附件文件向受害者发送电子邮件/受害者浏览恶意网站并下载文件

2、受害者打开HTML恶意文件

3、在iframe中加载包含文件夹的文件（所以我的文件路径是file:///home/user/-malicious.html，iframe源将是file:///home/user/）

4、受害者认为他点击了恶意HTML上的一个按钮，但实际上他点击了iframe目录列表中的恶意文件html（使用ClickJacking技术，以便应用“上下文切换错误”，这允许我访问目录列出我的文件夹）

5、恶意iframe现在具有升级的权限，并且能够读取包含恶意文件的文件夹上的任何文件，（在大多数情况下，下载文件夹，在我的情况下是file:///home/user/）。

6、恶意文件能够读取包含文件夹（file:///home/user/）的任何文件，例如SSH私钥，只需获取URL file:///home/user/.ssh/ida_rsa并通过文件内容向攻击者的恶意网站提取1次获取请求来窃取任何文件。

7、攻击者获取包含恶意文件的文件夹中的所有文件利用此漏洞

视频演示如下所示：

安全研究员认为，核心问题始于Web原创概念RFC，它没有描述文件方案URI的SOP定义明确的实现。

第10页：

所以基本上，RFC说“实现可以返回一个实现定义的值”相当于“你可以做任何你想做的事情”

此外，还提出了一些与此相关的方法：

我们都明白第一个选择是不安全的，但第二个选项也很成问题，但都被Firefox采用，这便是漏洞成因了。结合下面的勾，再结合场景，便很好理解了。

上图，除了基于dir的SOP实现仅在Firefox上支持之外，所有现代浏览器都不允许对文件方案进行提取请求，然而firefox认为能接受，没毛病

这应该在RFC方面解决，应该强制用户代理（浏览器）实现最安全的方法，并且不允许开发人员做出让客户端暴露于此类攻击的错误。尽管RFC定义了文件方案URI的SOP实现可能不安全，但Firefox采用了不安全的方法：

“我们对同源策略的实现允许每个file://URL访问同一文件夹和子文件夹中的文件。”

值得注意的是，Firefox只引用了基于目录的SOP实现以及一个文件可以读取目录中的文件这一事实，但没有提及任何有关在同一目录下，能够读取整个文件的信息，使这次攻击更加严重。 

目前受影响版本范围如下

而标题后半段，正如这位博主所言，通过WhatsApp使用Firefox打开收到的HTML或SVG文件，通过该漏洞，攻击者可以获取到保存在WhatsApp的文档发送的文件夹的文件。

如下图演示视频可见，钓鱼作用还是有的，因为目前好像只是测试了WhatsAPP,不知道其他APP是否也会产生类似的效果。大概是个保存的文件路径有关吧。

以上，或许在钓鱼界，能够出来一颗新星？

参考来源：

如果需要打补丁，可以关注下面这个帖子

https://bugzilla.mozilla.org/show_bug.cgi?id=803143

https://twitter.com/evaristegal0is/status/1146455296673538048

https://quitten.github.io/Firefox/

*本文由黑鸟公众号原创发布，未经许可不得以任何形式转载。

感谢关注转发点赞

加星标方法如下

今日这篇文章推荐大家seesee

更多情报，请关注后点击菜单栏的知识星球

扫二维码加入每日更新的知识星球，打开威胁情报世界大门

（现在已经开启分享有赏模式，分享的越多，你赚的越多哦，原价299，现价269）

不多BB，求点个在看吧