http://www.ithome.com.tw/itadm/article.php?c=57635 Firefox拦阻微软外挂事件有变：Mozilla说分明 文/郭和杰 (记者) 2009-10-20 现在Mozilla已经把.NET Framework Assistant外挂从拦阻名单中撤除，而WPF外挂则改为 「软性拦阻」（soft block），也就是说使用者可设定成「启动」。 由於受到IE漏洞波及而决定在Firefox上拦阻微软外挂的Mozilla，在接到企业抱怨，以及 与微软讨论之後，周日（10/18）将其中一个外挂程式排除在拦阻名单之外，并在周一（ 10/19）把另一个改成「软性拦阻」。 日前微软释出安全更新，其中MS09-54所修补的漏洞可能透过外挂程式而波及Firefox浏览 器，因此Mozilla决定拦阻Microsoft .NET Framework Assistant 1.0以及Windows Presentation Foundation（WPF）两个外挂程式。而现在，Mozilla已经把.NET Framework Assistant外挂从拦阻名单中撤除，而WPF外挂则改为「软性拦阻」（soft block），也就是说使用者可设定成「启动」。 Mozilla工程副总裁Mike Shave在部落格上表示，收到来自微软的确认，表示Framework Assistant外挂程式并不属该漏洞攻击的机制後，我们已从拦阻名单中将它移除。我们在 拦阻名单中将它移除之前，很努力要改善使用者经验，特别是那些希望我们撤销拦阻WPF 外挂的企业使用者。 这个决策转变显然引起外界的猜测，对此Mike Shave另辟一部落格以时间还原的方式做详 细的说明。他表示，整起事件必需回溯到2009年七月，Mark Dowd、Ryan Smith，以及 David Dewey在黑帽大会上公布了IE的一个漏洞，以及其他受波及的软体，如Firefox外挂 ，Google的Native Client，但未包括了Firefox本身，以及WPF外挂程式。 上周一（10/12）微软的安全研究暨开发团队在官网上贴了一篇部落格表示，黑帽大会上 公布的这个IE漏洞，可能让骇客利用WPF外挂里的一个IE元件攻击Firefox使用者。这个外 挂是作为Windows .NET Framework 3.5的一部份在散布。 他指出，上周二（10/13）微软释出了MS09-054安全更新，修补这个IE漏洞。接着周五（ 10/16）Mozilla连络微软，以了解整个情况。当时与微软讨论了漏洞的特性，以及解除安 装这个外挂或扩充程式的困难，因此双方同意，在找到保护使用者的最佳方法之前，先行 拦阻这个外挂程式。微软的部落格更新指出，安装MS09-054修补程式的Firefox使用者将 可受到保护，不会受此漏洞影响。 上周六（10/17），在使用者的反应下（主要是企业使用者）， Mozilla开始为Firefox 3.5使用者着手「可撤销」的拦阻（就是软性拦阻）功能。在与微软讨论下认为，这个扩 充程式可能受漏洞影响，因此决定继续拦阻。 周日微软通知Mozilla，.NET Framework Assistant外挂程式并不在漏洞攻击机制内，因 此将它从拦阻名单移除。若未安装MS09-054修补程式，WPF外挂可能会遭漏洞攻击，因此 还是保留在拦阻名单内。周一Mozilla将WPF改成「软性拦截」，就是使用者可以在确定修 补IE漏洞之後重启外挂。 Shave表示，微软正在监控漏洞的修补比例，在达到高部署率之後将会移除其余的拦阻名 单，预计需要再两天的时间。 协助Mozilla解决该问题的微软的程式管理总监Stephanie Boesch表示，安全是所有微软 客户的第一要务，因此我们一起决定，该采取的最佳行动是在Firefox使用者修补这个IE 漏洞之前拦阻这个外挂程式。她并感谢Mozilla的合作解决该问题。（编译/郭和杰） -- 这就是前面文章 ( #1AsQeb17 ) 提到的问题 接下来就要看Mozilla和微软怎麽处理这一个漏洞了 --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 220.128.189.59