安卓版火狐Firefox浏览器出现WiFi劫持漏洞 建议用户尽快升级

据外媒报道谋智基金会日前已经修复安卓版火狐浏览器的某个漏洞，攻击者利用漏洞可以劫持用户使用的浏览器。研究人员称如果成功利用漏洞甚至可劫持局域网内所有安卓版火狐浏览器，并迫使用户打开恶意网站和钓鱼网站。 研究人员将漏洞通报给谋智基金会后也得到确认，随后这家开发商迅速修复漏洞并提交到应用商店等待用户更新。

SSDP组件中的漏洞：

漏洞位于安卓版火狐浏览器使用的SSDP组件，SSDP是简单服务发现协议，协议可用来在局域网内查找特定设备。

安卓版火狐浏览器利用该协议在局域网内查找其他设备以便进行内容共享或接收，例如把视频共享到机顶盒上等。

查找到设备后浏览器组件会自动获取该设备配置存储位置，而在旧版火狐浏览器中使用的发现协议存在特定漏洞。

攻击者借助漏洞可以通过脚本发送格式错误的数据包，从而让火狐浏览器将其当做常规命令来执行并操作任务等。

尽管听起来这个漏洞好像不怎么严重，但实际上攻击者可以将漏洞武器化，并在多种特定场景中发起大规模攻击。

例如在机场或火车站里提供公共无线网络，攻击者只要接入这个无线网络即可发送数据包来操纵所有火狐浏览器。

攻击者也可以选择对某些路由器下手，通过其他漏洞控制路由器后可以借助火狐漏洞在公司内网发送垃圾数据包。

迫使使用安卓版火狐浏览器的员工自动打开钓鱼身份验证界面，然后诱导员工在身份验证界面输入自己账号密码。

上述两种场景都可以发起大规模攻击，攻击者可以非常轻易的向用户发送广告和垃圾信息甚至打开钓鱼网站等等。

官方提醒赶紧升级最新版：

谋智基金会在修复漏洞后向所有用户发出警告要升级到最新版，该漏洞仅影响火狐安卓版不影响火狐的桌面版本。

国内使用火狐浏览器安卓版的用户可能较少因此应该不会形成广泛攻击，而在国外火狐安卓版的用户还是不少的。

研究人员已经发布概念验证视频来利用这枚漏洞，在火狐修复漏洞后有些黑客可能会通过代码更改找到这枚漏洞。

所以使用火狐安卓版的用户也应该尽快升级到最新版防止遭到劫持，研究人员的概念验证视频可以点击这里查看。