上周，Mozilla紧急发布了Firefox 131.0.2版本，修复了一个已在野外被利用的高危漏洞CVE-2024-9680。Tor Browser随后也发布13.5.7版本，纳入了相关修复补丁。虽然Tor Browser的核心设计可以一定程度上抵御去匿名化攻击，但此次事件仍为其安全性敲响警钟。
零日漏洞：利用链可实现远程控制
CVE-2024-9680是一个“use-after-free”漏洞，存在于Firefox的动画时间线机制中。Mozilla表示，该漏洞允许攻击者在浏览器的内容进程中执行任意代码。
更令人担忧的是，漏洞样本最初由知名安全公司ESET上报，ESET提交的样本中包含了完整的利用链，能够在无用户交互的前提下实现远程代码执行。Mozilla收到样本后，立即组织安全团队展开逆向工程分析，并在短短25小时内完成修复。
该漏洞也说明了现代浏览器中复杂组件的脆弱性，这类漏洞不再是理论上的问题，而是真实存在于用户浏览网页的过程中。
Tor Browser迅速跟进修复，版本13.5.7已发布
基于Firefox ESR的Tor Browser在确认漏洞影响后，也立即采取行动。Tor开发团队发布13.5.7版本，与Mozilla保持同步修复节奏。
这表明Tor Browser维护团队在响应安全威胁方面具有高度的敏捷性和责任感。用户只需更新至13.5.7，即可获得Mozilla提供的安全修复。
匿名性是否受影响？
在此次事件中，有部分用户担心此漏洞可能被用于用户身份去匿名化。对此，Tor项目组做出澄清：虽然漏洞可控制浏览器内容进程，但不会直接泄露用户身份或IP地址。
尤其是在使用Tails操作系统的情况下，由于其为完全基于RAM运行的系统，重启后不会保留任何数据，因此攻击者即使利用该漏洞入侵浏览器，也很难持久性植入恶意程序或追踪用户。
官方纠正信息：并无确凿证据表明攻击针对Tor Browser用户
值得一提的是，Tor项目最初在其官方博客中表示“Mozilla已经确认攻击者利用该漏洞攻击Tor Browser用户”，但随后进行了修改，删除了该不准确声明。目前尚无证据表明该漏洞在实际中专门被用于针对Tor Browser用户的攻击。
这进一步说明，目前匿名性仍未遭受实质威胁，但安全漏洞本身依旧值得高度重视。
安全建议与防护措施
面对日益复杂的网络安全威胁，Tor Browser用户应采取如下措施：
-
立即更新至13.5.7版本，修复所有已知漏洞；
-
尽量避免访问未知来源的网页；
-
在可能的情况下使用Tails等额外防护系统，提升整体匿名性与数据安全；
-
关注Tor Browser与Mozilla官方通告，获取第一手安全更新信息。
总结
尽管Tor Browser的设计核心在于保护用户隐私与匿名性，但软件层面的安全漏洞仍然是不可忽视的风险点。本次CVE-2024-9680事件虽未造成大范围匿名性泄露，但也再次提醒所有匿名浏览器用户：更新永远是最简单、也是最有效的防御手段之一。
及时安装13.5.7更新，是每一个重视数字隐私的用户当前最应执行的任务。