Beyond Security SecuriTeam 發現 Firefox 兩處新漏洞，可能導致本地檔案洩露與釣魚防護失效。Mozilla 此前曾駁回類似報告，目前對新漏洞保持沉默。

漏洞一：彈窗關閉繞過本地檔案存取檢查 (CVE 候選)

• 根因：Firefox 預設阻擋網頁存取 `file://` 協議本地檔案。但使用者手動關閉彈窗時，URL 許可檢查被錯誤略過。
• 攻擊鏈：
  1. 誘騙用戶點擊惡意連結 → 開啟彈窗。
  2. 用戶關閉彈窗 (點 X 或 ESC)。
  3. 惡意腳本在關閉瞬間竊取 `file://` 權限，植入代碼讀取本地敏感檔 (如 `~/.ssh/id_rsa`、錢包.dat、瀏覽器密碼庫)。
  4. 配合影片播放/下載功能落地惡意載荷。
• 影響版本：疑似僅 Firefox 1.5，2.0 可能已修補 (Mozilla 未確認)。

漏洞二：反釣魚保護繞過 (URL 偽造)

• 根因：內建反釣魚過濾器對 URL 解析邏輯缺陷，特定字元序列可誤導判斷信任等級。
• 利用方式：釣魚頁面 URL 嵌入特製字串 (如 Unicode 混淆、Punycode、Data URI 嵌套) → Firefox 顯示「安全」綠標 → 用戶放心輸入憑證。
• 風險：繞過瀏覽器內建最後一道防線，配合社交工程極具欺騙性。

緊急緩解措施

1. 立即升級：選單 → 說明 → 關於 Firefox → 自動檢查更新 → 重啟。
2. 啟用嚴格隱私模式：`about:config` → `privacy.popups.disable_from_plugins = true`、`network.IDN_show_punycode = true` (顯示 Punycode 真實域名)。
3. 部署外部防護：DNS 防火牆 (NextDNS/Quad9)、瀏覽器隔離擴充 (uBlock Origin + NoScript)、密碼管理器僅在確認域名匹配時自動填入。
4. 關注官方公告：Mozilla Foundation Security Advisories 訂閱 RSS/郵件通知。

深度思考：瀏覽器安全的系統性挑戰

• 複雜度爆炸：千萬行代碼、多進程架構、WebAssembly、WebGPU、WASI 新攻擊面持續擴大。
• 補丁週期 vs 0day 利用窗口：自動更新機制仍有小時級延遲。
• 防禦重心轉移：從「瀏覽器內建防護」→「系統級隔離 (沙箱/虛擬化) + 網路層威脅情報 + 行為基線異常檢測」。

瀏覽器是企業資安最脆弱的邊界。持續更新、最小權限、多層防護，缺一不可。