Firefox CVE-2026-6770 补丁修复了Tor用户指纹识别风险

Firefox CVE-2026-6770 补丁修复了 Tor 用户指纹风险

执行摘要

Mozilla Firefox 中的一个漏洞，跟踪编号为 CVE-2026-6770，可能允许攻击者识别 Tor Browser 用户，潜在地破坏 Tor 提供的匿名保护。根据 SecurityWeek 的报告，这个漏洞已经在 Firefox 150 和 Tor 15.0.10 的发布中被修补。这个漏洞是一个计时侧信道，即使用户通过 Tor 网络路由流量，也能唯一识别用户。

技术分析

CVE-2026-6770 是 Firefox 中的一个计时侧信道漏洞，可能被利用来识别 Tor Browser 用户。正如 SecurityWeek 所描述的确切机制，涉及计时差异，允许攻击者区分不同的浏览器配置或网络条件，有效地为用户会话创建一个唯一标识符。这破坏了 Tor 的核心匿名承诺，它依赖于使所有用户看起来尽可能相似以防止跟踪。

这个漏洞存在于 Firefox 代码库中，并被基于 Firefox 的扩展支持发布（ESR）分支构建的 Tor Browser 继承。Mozilla 在 Firefox 150 中解决了这个问题，Tor 项目随后发布了 Tor 15.0.10，其中包含了上游修复。在报告时，没有公开分配 CVSS 分数，SecurityWeek 没有透露这个漏洞是内部发现还是由外部研究人员报告的。

计时侧信道历来是浏览器安全的挑战，因为它们通常依赖于可以远程测量的执行时间的微妙差异。在 Tor 的背景下，即使少量的熵也足以去匿名化用户，如果与其他指纹识别技术结合的话。修复可能涉及在不同状态下规范化计时行为，以消除可测量的差异。

缓解措施与建议

Tor Browser 的用户应立即更新到版本 15.0.10。Firefox 用户应升级到版本 150。部署 Tor Browser 供员工进行敏感研究或新闻报道的组织应优先考虑此更新，因为漏洞直接破坏了 Tor 提供的匿名层。防御者应监控可能出现的概念验证漏洞，尽管在补丁发布时没有报告任何活跃利用。