LeakIX blog
·
Selenium Grid：始终存在的远程代码执行漏洞
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
Selenium Grid中的Firefox节点存在未修复的远程代码执行漏洞。尽管Selenium团队在2021年收到报告，但仅进行了文档改进，未发布实际补丁。攻击者可利用Firefox的配置文件注入功能执行任意代码。建议用户通过身份验证或网络隔离来防止此类攻击。
🎯
关键要点
- Selenium Grid中的Firefox节点存在未修复的远程代码执行漏洞。
- 该漏洞于2021年5月被报告，但Selenium团队仅进行了文档改进，未发布实际补丁。
- 攻击者可以利用Firefox的配置文件注入功能执行任意代码。
- 建议用户通过身份验证或网络隔离来防止此类攻击。
- Firefox的配置文件处理技术在多个版本中均未被修复，仍然存在漏洞。
- Selenium Grid的默认配置缺乏身份验证，容易受到攻击。
❓
延伸问答
Selenium Grid中的Firefox节点存在什么漏洞？
存在未修复的远程代码执行漏洞。
Selenium团队对该漏洞的响应是什么？
他们仅进行了文档改进，未发布实际补丁。
攻击者如何利用Firefox的配置文件注入功能？
攻击者可以通过注入handlers.json文件来执行任意代码。
如何防止Selenium Grid的远程代码执行攻击？
建议通过身份验证或网络隔离来防止此类攻击。
Selenium Grid的默认配置有什么安全隐患？
默认配置缺乏身份验证，容易受到攻击。
Firefox的配置文件处理技术在多个版本中是否被修复？
没有，所有版本均存在该漏洞。
➡️
