MozillaがTorユーザーを攻撃するために使用されたゼロデイFirefoxバグを修正

ジャーナリスティックソフトウェア-Torブラウザ Torブラウザは、インターネットを匿名で閲覧するための最も広く使用されているプライバシーツールです。Torプロジェクトは、古いバージョンのFirefoxに似たオープンソースコードを部分的に使用してネットワークを構築しました。そのFirefoxバージョンの脆弱性を悪用すると、他の匿名のTorユーザーが特定されてしまいます。今週、Mozillaの人気ブラウザでそれが発生し、組織はゼロデイ脆弱性を修正するアップデートを迅速に展開しました。

公開されたTorプロジェクトのメーリングリストでバグが明らかになり、MozillaはFirefoxをバージョン50.0.2に更新しました。TorプロジェクトチームもTorブラウザのパッチを発行し、現在はバージョン6.0.7にアップグレードされています。Torプロジェクトは、この脆弱性がWindowsユーザーにのみ影響を与えたと考えていますが、macOSやLinuxユーザーにも影響があった可能性があります。

ゼロデイ脆弱性は、MozillaのThunderbirdメールアプリケーションやFirefoxのExtended Supportリリースバージョンにも影響を与えました。Mozillaのセキュリティチームリーダーであるダニエル・ヴェディッツは、ブログ投稿で次のように書いています：

この脆弱性は、攻撃者が被害者に悪意のあるJavaScriptおよびSVGコードを含むウェブページを読み込ませることによって、ターゲットシステム上で任意のコードを実行できるようにするためにFirefoxのバグを利用しました。この機能を使用して、ターゲットシステムのIPアドレスとMACアドレスを収集し、それらを中央サーバーに報告しました。