Firefox 更新修复一批漏洞:桌面解压工具链该怎么跟着升

这次更新修的是什么

Mozilla 发布了 Firefox 浏览器的一百五十九号稳定版,同批还更新了两个长期支持版本。

安全方面,这个版本累计修复了相当一批安全漏洞,其中高危级别的占了一百多个。多数问题与内存处理相关,比如缓冲区溢出、释放后使用这类缺陷。

官方同时敦促仍在用旧版本的用户尽快升级。

解压工具的风险从哪来

浏览器和压缩解压工具,处理的其实是同一类东西:来自外部的、来源不明的文件。

浏览器每天要解析网页里携带来的各种数据,解压工具每天要处理别人发来的压缩包。两者都是读入外部构造的数据这个动作,风险性质是接近的。

区别在于攻击面大小。压缩包格式比网页格式复杂得多,解压器要处理几十种格式,每种格式又有各种边界情况,历史上格式解析漏洞一直是高发地带。所以解压工具的安全更新,不比浏览器次要。

桌面工具链该怎么跟

一个可操作的判断标准:看工具在不在处理外部输入。

只用来压自己生成的文件,风险相对低。经常接收、打开别人发来的压缩包的工具,就是风险面在前的那种,该跟就跟。

本机装的压缩工具如果长期不更新,遇到高危漏洞公告时反而更危险,因为用户以为它一直开着没事,实际上是长期带着已知缺陷在跑。

更新的判断标准

不是每次更新都要立刻跟,但有几类值得优先处理。

涉及内存处理、远程代码执行这类描述的,属于高优先级。历史上多次出现的漏洞类型,防护逻辑的改动往往需要完整的新版本才生效。

涉及证书校验、证书吊销检查的更新,同样值得优先装。这类修复影响的是安全链路是否还成立,不是某个具体功能。

另外两个原则:一是保持版本新,二是别长期只装一个工具而不用更新。

至于具体怎么挑,之前写过桌面压缩工具的升级习惯和解压工具为什么总在裸奔,可以对照着看。什么时候该升、什么时候可以缓一缓,这两篇讲得比较细。

和本地处理的关系

所有这些工具共同的一个前提,是处理过程发生在自己机器上。

闪压的压缩和解压全部在本地完成,文件不经过任何服务器。处理外部文件的风险需要靠工具自身的更新来降低,但数据会不会流出去这个问题,本地处理从根上就不存在。

所以更新工具和维护本地数据这两件事是一套逻辑的两面:工具保持新,数据留在本地,两件事都做到位了,不管外面怎么变,你的资料都是安全的。

工具装在电脑上,不代表你真的在用。

判断一个工具值不值得保持更新,先看它在你日常工作里的角色。如果它每天都要处理别人发来的文件,那它就是暴露面的一部分,更新优先级自然高。如果半年没打开过,那更新不更新也无所谓,甚至可以考虑卸掉。

这个判断能帮你砍掉一批不必要的负担。电脑上装了一堆很少用的工具,既占地方,又让安全更新的事情变得复杂,还容易在真出事的时候分散注意力。

真正在用的那几个工具,值得单独盯着版本。闪压是这类工具:压缩和解压都在本机完成,不联网上传,所以它的风险主要来自自身实现的缺陷,保持版本新就是最直接的对策。

工具更新的节奏,和产品迭代的节奏不一样。

很多软件每个版本都改一堆功能,用户被引导着去升级。但安全更新要看的不是功能多不多,而是修了什么缺陷。像这次这样集中修复内存处理相关问题的情况,优先级应该排在最前面。

反过来,有些更新只是换了个界面、加了个小功能,这类更新可以缓一缓。把有限的时间花在真正影响安全性的更新上,这个判断标准比桌面工具升级决策那篇讲得更细,"总是保持最新版"要实际得多。