分类:
2008-09-10 10:25:54
据网络应用专业厂商Cenzic称,如果你使用公共计算机上的IE浏览器访问Gmail电子邮件账户,你也许会在浏览器的缓存中留下许多敏感的信息。
Cenzic发布警告称,Gmail和IE浏览器中的漏洞会严重影响电子邮件系统和用户隐私。然而,微软并不重视这个风险。微软称,这不是产品中的安全漏洞。
Cenzic公司声称研究人员发现一种方法,与不适当的缓存指令一起使用CSRF(跨站请求伪造)能够从IE缓存中劫持Gmail证书。这个安全问题仅存在于用IE访问Gmail的过程中。微软和Google应该使用补丁保证用户的安全,特别是保护那些在图书馆或者网吧使用计算机的那些用户的安全。
微软发言人在声明中称,经过全面的调查,微软认为这个风险有些言过其实。在存在疑问的这种情况下,攻击者需要经过身份识别访问系统之后才能修改缓存中的文件。拥有这种水平的访问权限,攻击者还能够安装恶意程序,造成比上面介绍的情况还要严重的后果。
Cenzic公司的Khera承认,黑客必须物理访问那个系统才能实施攻击。但是,他坚持说,使用公共计算机的用户会有遭到跨站脚本攻击(XSS)的风险。他说,我理解微软的立场。但是,这并不表示它没有安全漏洞。这仍是一个需要修复的严重问题。
由于没有补丁,Khera建议用户在浏览器上关闭缓存网页,这将阻止为了以后观看缓存任何网页。但是,他警告说,这种绕过风险的措施可能会对浏览器的性能产生不利的影响。