近日 Mozilla 开发团队发布博客表示，他们早在 6 月份就发现了有扩展程序（Add-ons）在滥用 Firefox 浏览器的 Proxy API，该 API 主要用于管理浏览器与互联网的连接方式。此次发现的扩展程序会利用该 API 阻止 Firefox 更新，通过调查发现，受影响的用户超过 45 万人。
浏览器的扩展程序是可以安装的模块，通过扩展程序可以丰富浏览器的功能，提升用户使用体验，这些扩展通常包括反跟踪软件、广告拦截、浏览器开发 工具 和文章剪藏等实用工具。
当然，正如 Mozilla 团队所发现的那样，扩展程序也可被用于阻止浏览器的正常工作或执行窃取数据这类的恶意行为，这也是各大浏览器面临的一大挑战。
此次发现的扩展名为 Bypass 和 Bypass XM，他们使用 Proxy API 拦截并重定向网络请求从而篡改了浏览器的更新功能，阻止了用户下载更新、更新远程配置的内容，以及访问更新的阻止列表。
经过分析后发现，这两个扩展很可能是通过使用反向代理来绕过部分网站的付费内容。不过，它们也把 Mozilla 的域名放在了需要反向代理的列表中，这无意间也阻止了浏览器更新。
为了防止更多的用户受到扩展程序滥用 Proxy API 的影响，Mozilla 目前已经暂停了对使用 Proxy API 的扩展的审核，直到为所有用户提供修复方法后才会重新开放审核。
自 6 月发现这一问题后，Mozilla 从 Firefox 91.1 开始就引入了一些变化来改善这个问题，其中包括当 Firefox 通过代理配置发出重要请求（如更新请求）失败时，将退回到直接连接。
确保这些请求成功完成有助于我们向用户提供最新的重要更新和保护。
除此之外，为了阻止类似的扩展滥用相同的 API，Mozilla 已经为 Firefox 添加了一个名为 Proxy Failover 系统扩展（该扩展隐藏在 'about:addons' 中，不能被禁用），这个新的扩展程序可以防止有人试图干扰 Firefox 浏览器的更新机制。
Mozilla 建议用户将 Firefox 浏览器更新到最新版本（Firefox 93），以确保不会被滥用 Proxy API 的扩展所影响。Firefox 版本低于 91.1 且已经受到影响的用户则需要前往官网手动下载安装最新版本的 Firefox。
猜你喜欢: