近日披露的一项严重 Firefox 浏览器漏洞（编号 CVE-2024-9680）引发了广泛关注。据网络安全媒体 The Record 报道，多个威胁行为者正在利用此漏洞锁定 Tor Browser 用户，试图通过远程代码执行劫持其浏览器控制权。
CVE-2024-9680：一次精准且危险的攻击
该漏洞本质上是 Firefox 动画时间线中的一个“use-after-free”内存使用错误，可被攻击者用于在目标浏览器的内容进程中注入并执行恶意代码。该漏洞由 ESET 安全研究人员发现，Mozilla 在收到报告后快速响应并修复漏洞，随后 Tor Browser 紧急推出了包含补丁的 13.5.7 版本。
Mozilla 透露，ESET 提供的攻击样本中，包含一整套可在用户计算机上执行的攻击链，并证实该漏洞已被用于实战攻击中。
为什么 Tor 用户成了攻击焦点？
Tor Browser 用户因其上网行为高度匿名，常被威胁组织或国家机构列为重点监控对象。而当他们通过该浏览器访问受审查或受限网站时，一旦浏览器本身存在漏洞，就为攻击者提供了可乘之机。
虽然本次漏洞不会直接去匿名化 Tails 用户，但在普通操作系统（如 Windows、macOS）中运行 Tor Browser 的用户，如果浏览器未更新，则存在遭受完全远程控制的风险。
Tor 项目发声：紧急修复与警示
Tor 项目团队在漏洞修复发布后，罕见地发表声明，确认该漏洞正被用于针对 Tor Browser 用户的攻击中，并称 Mozilla 已知晓相关入侵事件。这一表态无疑提升了整个社区的警惕程度。
他们同时强调，虽然漏洞本身无法直接去匿名化 Tails 用户，但在其他环境下，攻击者通过该漏洞可以完全接管用户的浏览器进程，执行任意指令，风险极大。
用户安全指南
为了确保您的匿名浏览安全，Tor 项目建议如下：
-
立即将 Tor Browser 升级到 13.5.7 版本；
-
启用“最安全”模式，阻止 JavaScript；
-
使用 Tails 等基于隐私安全的操作系统；
-
经常关注 Tor Browser 和 Mozilla 的更新通告；
-
不要延迟更新浏览器补丁，哪怕是在受信任的网络环境中使用。
总结
CVE-2024-9680 是一次严峻的警示，说明即便是追求隐私极致的 Tor Browser，也无法彻底避免安全漏洞的影响。对用户而言，最大的风险并不是漏洞本身，而是对风险的忽视。
务必保持警觉、定期更新系统与浏览器，才能在这场没有硝烟的信息战争中守住属于你的“匿名堡垒”。