研究指18年前浏览器已存在漏洞Chrome、Safari、Firefox用家都有风险

资安 • 2024年8月13日 12:30 • 投稿

近日以色列信息保安公司 Oligo Security 发现一个存在已 18 年之久的漏洞，并命名为「0.0.0.0 Day」。据悉黑客可通过这个漏洞攻击谷歌 Chrome、Apple Safari 和 Mozilla Firefox 等主流浏览器的用家，直接进入用户的局域网，从而取得内部访问权限盗取用户资料，甚至可进行远程代码执行。

Oligo 研究显示，黑客可以藉由引导受害者访问恶意网站，通过「0.0.0.0」这个看似无害的 IP 地址发送恶意请求，进而存取本应为受害人私密的资料及服务。这个漏洞存在已久，最早可追溯至2006年。 Oligo 表示这段时间内很大机会有黑客曾经利用过此漏洞进行攻击。「0.0.0.0 Day」漏洞源于各个浏览器采用不同安全机制，而且业界缺乏标准化程序，导致了不同浏览器对「0.0.0.0」IP 地址的处理方式有所不同，使这个漏洞长时间内无法修补。

谷歌 Chromium 数据显示，全球会连接「0.0.0.0」的网站有上升趋势，现时占有纪录网站的 0.015%。截止2024年8月，全球有2亿个网站，当中有10万个公共网站可能有连接0.0.0%。

▲图片来源：oligo

Oligo Security 的研究人员表示漏洞会影响 macOS 和 Linux 用家，Windows 用户则不受此漏洞影响，因为 Microsoft 在 OS 层级已阻挡「0.0.0.0」访问。至于Apple macOS则准备在macOS 15 Sequoia测试版中封锁「0.0.0.0.0」访问，另外亦对 Safari 进行重大改革，禁止存取「0.0.0」 IP 地址; 谷歌在 Chromium 128 开始封锁「0.0.0.0」，预计未来几个版本的 Chrome 亦会逐步封锁该 IP 地址; Mozilla 就暂时没有修复 Firefox 相关漏洞。