Firefox 在 2015 年 8 月 7 日爆了一个重大漏洞，请大家尽快更新

[Livid]

Mozilla 的官方说明：

https://blog.mozilla.org/security/2015/08/06/firefox-exploit-found-in-the-wild/

如果你是 Firefox 的重度用户，请尽快更新。

[wikinee]

@Livid 跪了，这么简称啊！

[Radeon]

@canautumn MAS里的美服的Opera是有sandbox的，不过现在好像下架了

[Radeon]

@lcj2class 肯定是利用漏洞劫持JavaScript解释器啊，JavaScript解释器有进程的所有权限，可以读几乎所有本地文件

[icylogic]

重度用户一直在用 Beta 版。。因为 Beta 才有 Win64 版本可用。。

[chengzhoukun]

@icylogic +1

[patr0nus]

@Radeon MAS 只是强制 sandbox，不强制浏览器引擎的，只要你的引擎能在 Sandbox 下正常工作就行。

[lsmgeb89]

@icylogic Win64 的版本有 flash 吗？

[icylogic]

@lsmgeb89 有啊，只是我禁用了，我除了在 Windows bilibili 客户端，平时也不看别的视频。。

[Radeon]

@patr0nus 是的。我知道

[RqPS6rhmP3Nyn3Tm]

安全问题个人感觉大部分还是靠用户自身的使用习惯。像 Google 这种大厂，想来不会干什么坏事。Firefox 就更方便了，自己看源码去。

要是哪天 OS X 也强制沙盒，我可能会把电脑给砸了……

[RqPS6rhmP3Nyn3Tm]

话说真希望 Flash, Java 这种猪队友能强制沙盒……

[lcj2class]

@Radeon
不知道你是如何得出这个结论的，mozilla官方博客上这样写道：

The vulnerability comes from the interaction of the mechanism that enforces JavaScript context separation (the “same origin policy”) and Firefox’s PDF Viewer. Mozilla products that don’t contain the PDF Viewer, such as Firefox for Android, are not vulnerable. The vulnerability does not enable the execution of arbitrary code but the exploit was able to inject a JavaScript payload into the local file context. This allowed it to search for and upload potentially sensitive local files.

个人觉得应该是利用了same origin policy机制，让inject的js代码（后面简写inject.js）与pdfjs的代码属于同一origin
跟js解释器没什么关系，但是我还是不大明白什么机制，inject.js是如何利用了pdf.js的local context，来搜索本地的文件的呢？据我所知，JS中并没有读取本地文件系统的API。

请指教。谢谢

BTW
HN的讨论这个话题的这个帖子，https://news.ycombinator.com/item?id=10021376

http://linustechtips.com/main/topic/426099-firefox-pdf-viewer-exploit-used-to-access-local-files-already-patched/


@patr0nus

[breeswish]

@Radeon 这个漏洞可以用来读取其他文件：沙盒可以阻止浏览器读取 ~/.ssh，然而并不能阻止恶意脚本读取浏览器在沙河下就可以读取的内容比如存储的 cookie database、history 之类… 有了沙盒影响确实是小很多了，不能任意读取，不过仍然是一个「重大漏洞」——沙盒并不能从根源上避免这个漏洞出现 :-(

[Radeon]

@lcj2class https://developer.mozilla.org/en-US/docs/Using_files_from_web_applications
这里面有很多可以读用户文件系统的API，只要local file context被改写的话

[lcj2class]

@Radeon
这个我知道，主要是这里需要用<input type='file'>来选择文件，好奇他是怎么用js在后台调用这个的

[lcj2class]

@Radeon
大致明白了，
https://developer.mozilla.org/en-US/docs/Extensions/Using_the_DOM_File_API_in_chrome_code

[avrillavigne]

昨天已经被强制从ESR31.8.0更新到了ESR 38.2.0 右键菜单让我强迫症病发了。

[LPeJuN6lLsS9]

@hantsuki 我错了，漏洞发现这天或者前几天我在31ESR检查更新没发现更新，就想当然