发布日期：2009-01-06
更新日期：2009-01-07

受影响系统：

Mozilla Firefox 3.0.5

描述：

---

BUGTRAQ  ID: 33137

Firefox是一款开放源码的WEB浏览器。

Firefox在调用/etc/mailcap中所定义的xdg-open工具之前没有正确地验证文件的mime-type，这可能导致执行任意代码。

Firefox使用mailcap检测默认的关联应用程序，对于音频或PDF文件等mime类型，Firefox使用xdg-open为默认的应用程序。由于xdg-open本身会检测mime类型（或要求桌面管理器检测），嵌入了伪造mime-type的页面会导致执行恶意程序。

<*来源：Manuel Reimer （Manuel.Spam@nurfuerspam.de）
  
  链接：https://bugs.freedesktop.org/show_bug.cgi?format=multiple&id=19377
        http://permalink.gmane.org/gmane.comp.security.oss.general/1361
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

https://prefbar.mozdev.org/testxdgopen.html
http://prefbar.mozdev.org/testxdgopen.html

建议：

---

厂商补丁：

Mozilla
-------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.mozilla.org/

浏览次数：3685
严重程度：0（网友投票）