Firefox の任意のコード実行の脆弱性は神話か?

Question

Firefox が公開した重大な脆弱性のライブ デモを見たことがありますか? ユーザーの介入なしに、URL にアクセスするだけで、プログラム (メモ帳など) を実行したり、新しいプログラムをダウンロード/インストールしたりすることは可能ですか? これは、Mozilla がセキュリティ アドバイザリで保証していることです。 https://www.mozilla.org/en-US/security/known-vulnerabilities/firefox/ 他のサイトで助けを求めたり、懸賞金をかけたこともありますが、運がありませんでした。私が言いたいのは、新しい未公開のエクスプロイトではなく、公開されているバグの 1 つを見たいだけなのです。ソース コードを見る必要すらありません。ライブ デモがあれば十分です。私が見た最後のこの種のデモは 2000 年のもので、IE 5 に影響を及ぼしていました。http://www.guninski.com/chmtemp-desc.html

Answer 1

いいえ、それは神話ではありません。 DBを悪用する公開された脆弱性に対する概念実証攻撃を見つけるには最適な場所です。もちろん、すべての脆弱性がここで公開されるわけではありませんが、多くの脆弱性が公開されています。私が最近見たFirefoxに対する脆弱性は、昨年4月から。

主要ブラウザの脆弱性を証明するもう 1 つの優れた情報源は、Pwn2Own コンテストです。昨年、このコンテストでは Firefox に対して 4 つの異なるゼロデイ攻撃が使用されました。