近日，Mozilla Bug系统被黑客入侵,私密数据疑遭泄露，安全专家提醒用户,不要在多个不同的账号中使用相同的密码,但是对于专家们的忠告,用户们总是左耳进右耳出。Mozilla公司的研究人员发现,即便是在安全专家发现有攻击者入侵了Bugzilla系统的用户账号,并从中窃取了用户的密码之后,很多高级用户仍然不会听从这一建议去修改他们的密码,他们仍然会在其他的账号中使用这些已经泄漏出去了的密码。

Mozilla公司在已经承认,该公司Bugzilla漏洞跟踪系统的数据被一名黑客泄漏了出来,而且这名攻击者还获得了大量还未被修复的0 day漏洞的详细信息。

攻击者也许已经弄清楚了目标用户的身份了,因为攻击目标是一个拥有特殊权限的用户,这名用户可以访问Mozilla公司的产品安全漏洞的敏感信息。Bugzilla是一个漏洞跟踪系统,Mozilla公司在其很多的产品中都使用了这个系统,虽然其中大部分的信息都是公开的,但仍有一小部分数据是外界无法得到的。尤其是那些正处于修复或评估阶段的安全漏洞的信息,这些信息将会一直处于受保护的状态,直到公司发布了相应的更新补丁或者公司宣布放弃修复这一漏洞为止。

Mozilla公司的官方发言人表示,此次事件的攻击者可能从2013年9月开始就可以访问目标用户的账号信息了。最早的能够确认的访问时间点为2014年9月份。一旦攻击者入侵了目标用户的账号之后,他就可以窃取有关火狐浏览器漏洞的相关信息。目前,火狐浏览器已经将与此次事件有关的漏洞修复了。

Mozilla公司的Richard Barnes在一篇解释此次攻击事件的文章中说到:“Mozilla公司在发现了这一账号遭到攻击者入侵之后,就立刻关闭了这一账号。我们认为,攻击者将会使用Bugzilla系统中的信息来利用那个我们在8月6日所修复的漏洞。目前,我们还没有发现任何迹象可以表明,攻击者利用了该系统中其他的信息来攻击火狐浏览器的用户。除此之外,Mozilla公司在8月27日所发布的新版火狐浏览器已经修复了所有与此次事件有关的漏洞。”

在这些被泄漏出来的漏洞中,有一个漏洞曾被攻击者利用过。而公司已经在2015年8月6日将这个漏洞成功修复了。这个漏洞与浏览器处理同源策略的方式有关。Mozilla公司的研究人员还发现,如果用户使用火狐浏览器去访问了一个俄罗斯的网站,那么这个漏洞就能够允许攻击者去收集这名火狐浏览器用户的个人数据。

根据Mozilla公司目前已经确认了的数据,这名攻击者得到了大约185个未被公布出来的0 day漏洞的详细信息。Mozilla公司认为,在这些泄漏出来的漏洞中,有53个漏洞是高危漏洞。但是Mozilla公司声称,在那名攻击者得到了这些漏洞信息的时候,公司已经将火狐浏览器中的43个高危漏洞成功修复了。

这也就意味着,还有十个高危漏洞没有被修复,攻击者仍然可以利用这十个高危漏洞,所以使用火狐浏览器的用户们仍然有可能受到攻击。