主流浏览器0.0.0.0 Day漏洞可能危害本地网络

据报道，所有主流浏览器，包括 Google Chrome、Apple Safari、Microsoft Edge 和 Mozilla Firefox，都受到了 0.0.0.0 Day 安全漏洞的影响，该漏洞可能被用于渗透本地网络并触发 macOS 和 Linux 设备中的远程代码执行。

Security 的分析显示，威胁者可能会创建恶意公共网站，以方便向 0.0.0.0 IP 地址发送精心设计的请求，但由于操作系统对访问 IP 地址的限制，该漏洞不会影响 Windows 系统。

Google、Apple 和 Mozilla 已经采取了类似的措施来封锁 IP 地址。这些发现促使 Oligo 研究人员建议应用程序开发人员实施 CSRF 令牌和 PNA 标头。

另一方面，新思科技软件完整性集团高级销售工程师 Boris Cipot 敦促用户对本地服务实施 IP 地址限制，并防止本地主机与外部实体之间的交互。

0.0.0.0 Day 漏洞

该团队将该漏洞命名为“0.0.0.0 Day”，可以追溯到 18 年前，黑客主要利用 0.0.0.0 这个看似无害的 IP 地址，攻击本地服务（包括用于开发、操作系统甚至内部网络的服务）。

团队表示这个漏洞暴露了浏览器处理网络请求时存在的一个基本缺陷，可能会让恶意行为者访问本地设备上运行的敏感服务。

这个错误最早可以追溯到 2006 年，Mozilla 公司在 BUG 追踪页面显示了相关问题，在 Chromium BUG 追踪页面显示为 2008 年，但目前两个 BUG 均显示为 Open 状态，没有修复。

主流浏览器均受影响

该机构表示包括 Chromium、Firefox、Safari 在内，所有主流浏览器均存在这个逻辑漏洞。

攻击者可以在 macOS 和 Linux 发行版上，利用该漏洞让公共网站（如以 .com 结尾的域名）访问本地网络（localhost）服务，并可能通过使用 0.0.0.0 地址而不是 localhost / 127.0.0.1 在访问者的主机上执行任意代码。

浏览器之家从报道中获悉，Windows 系统版本不受影响。

已有证据表明黑客发起攻击

专家们敦促解决这一漏洞，目前已经有证据表明黑客利用该漏洞发起攻击。

根据 Chromium 中的计数器，发送 0.0.0.0 的网站比例正在上升。这些网页可能是恶意的，目前占所有网站的 0.015%。截至 2024 年 8 月，全球有 2 亿个网站，可能有多达约 1 万个公共网站正在使用 0.0.0.0 进行通信。