[-Fx-] [新聞] Firefox攔阻微軟外掛事件有變：Mozilla說分明

[Chjung ( )]

http://www.ithome.com.tw/itadm/article.php?c=57635

Firefox攔阻微軟外掛事件有變：Mozilla說分明

文/郭和杰 (記者) 2009-10-20

現在Mozilla已經把.NET Framework Assistant外掛從攔阻名單中撤除，而WPF外掛則改為
「軟性攔阻」（soft block），也就是說使用者可設定成「啟動」。

由於受到IE漏洞波及而決定在Firefox上攔阻微軟外掛的Mozilla，在接到企業抱怨，以及
與微軟討論之後，周日（10/18）將其中一個外掛程式排除在攔阻名單之外，並在周一（
10/19）把另一個改成「軟性攔阻」。

日前微軟釋出安全更新，其中MS09-54所修補的漏洞可能透過外掛程式而波及Firefox瀏覽
器，因此Mozilla決定攔阻Microsoft .NET Framework Assistant 1.0以及Windows
Presentation Foundation（WPF）兩個外掛程式。而現在，Mozilla已經把.NET
Framework Assistant外掛從攔阻名單中撤除，而WPF外掛則改為「軟性攔阻」（soft
block），也就是說使用者可設定成「啟動」。

Mozilla工程副總裁Mike Shave在部落格上表示，收到來自微軟的確認，表示Framework
Assistant外掛程式並不屬該漏洞攻擊的機制後，我們已從攔阻名單中將它移除。我們在
攔阻名單中將它移除之前，很努力要改善使用者經驗，特別是那些希望我們撤銷攔阻WPF
外掛的企業使用者。

這個決策轉變顯然引起外界的猜測，對此Mike Shave另闢一部落格以時間還原的方式做詳
細的說明。他表示，整起事件必需回溯到2009年七月，Mark Dowd、Ryan Smith，以及
David Dewey在黑帽大會上公佈了IE的一個漏洞，以及其他受波及的軟體，如Firefox外掛
，Google的Native Client，但未包括了Firefox本身，以及WPF外掛程式。

上周一（10/12）微軟的安全研究暨開發團隊在官網上貼了一篇部落格表示，黑帽大會上
公布的這個IE漏洞，可能讓駭客利用WPF外掛裡的一個IE元件攻擊Firefox使用者。這個外
掛是作為Windows .NET Framework 3.5的一部份在散布。

他指出，上周二（10/13）微軟釋出了MS09-054安全更新，修補這個IE漏洞。接著周五（
10/16）Mozilla連絡微軟，以了解整個情況。當時與微軟討論了漏洞的特性，以及解除安
裝這個外掛或擴充程式的困難，因此雙方同意，在找到保護使用者的最佳方法之前，先行
攔阻這個外掛程式。微軟的部落格更新指出，安裝MS09-054修補程式的Firefox使用者將
可受到保護，不會受此漏洞影響。

上周六（10/17），在使用者的反應下（主要是企業使用者）， Mozilla開始為Firefox
3.5使用者著手「可撤銷」的攔阻（就是軟性攔阻）功能。在與微軟討論下認為，這個擴
充程式可能受漏洞影響，因此決定繼續攔阻。

周日微軟通知Mozilla，.NET Framework Assistant外掛程式並不在漏洞攻擊機制內，因
此將它從攔阻名單移除。若未安裝MS09-054修補程式，WPF外掛可能會遭漏洞攻擊，因此
還是保留在攔阻名單內。周一Mozilla將WPF改成「軟性攔截」，就是使用者可以在確定修
補IE漏洞之後重啟外掛。

Shave表示，微軟正在監控漏洞的修補比例，在達到高部署率之後將會移除其餘的攔阻名
單，預計需要再兩天的時間。

協助Mozilla解決該問題的微軟的程式管理總監Stephanie Boesch表示，安全是所有微軟
客戶的第一要務，因此我們一起決定，該採取的最佳行動是在Firefox使用者修補這個IE
漏洞之前攔阻這個外掛程式。她並感謝Mozilla的合作解決該問題。（編譯/郭和杰）

--
這就是前面文章 ( #1AsQeb17 ) 提到的問題
接下來就要看Mozilla和微軟怎麼處理這一個漏洞了

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 220.128.189.59
推 awashharp:就算可以撤銷封鎖 自己還是會繼續封鎖這些元件XDDD
推 Kenqr:.Net的元件有哪個網站會用到嗎？感覺好像沒用到過
推 Xconqueror:同樓上~~我也想知道...
推 kene:比起來 Java Applet 的存在感還比較高
→ knives:推二樓，那個.Net元件到底有什麼用
推 lht2:.NET Framework Assistant 會在Useragent後面加入 ClickOnce
→ lht2:的版本 按"關於Mozilla Firefox"可以觀察到
推 logs:我把外掛關到只剩Adobe, JAVA, Flash 之後執行速度變好快
推 Dustdusk:樓上的發言不意外XDD
→ SCYAzure:樓樓上把那三個關了...網頁會變超乾淨