CVE-2015-0802 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Firefox 权限控制逻辑缺陷。 🔥 **后果**：攻击者可通过特定导航，以 **Chrome 权限** 执行任意 JS 代码，彻底突破浏览器安全沙箱。

🔍 **缺陷点**：基于 **docshell 类型信息** 的访问控制失效。 📉 **CWE**：数据未提供，但核心是 **权限许可和访问控制** 漏洞。

📦 **受影响**：**Mozilla Firefox**。 📅 **版本**：**36.0.4 及之前版本**。 🏢 **厂商**：Mozilla 基金会。

⚡ **黑客能力**： 1. 获取 **Chrome 权限**（最高权限）。 2. 执行 **任意 JavaScript 代码**。 3. 可能窃取敏感数据或控制浏览器行为。

🚪 **利用门槛**： ✅ **无需认证**。 🌐 **远程攻击**。 🎯 **触发条件**：利用特定的 **内容导航** 即可触发。

💣 **Exp/PoC**： ⚠️ 数据中 **pocs 为空**，未提供现成代码。 📢 但存在多个官方确认链接，暗示漏洞原理已公开。

🔎 **自查方法**： 1. 检查 Firefox 版本是否 **≤ 36.0.4**。 2. 扫描是否存在针对该漏洞的 **特定内容导航** 攻击载荷。 3. 参考 Mozilla 安全公告 MFSA2015-42。

🛡️ **官方修复**： ✅ **已修复**。 📜 参考链接：[Mozilla 安全公告](http://www.mozilla.org/security/announce/2015/mfsa2015-42.html)。 📦 各大发行版（Ubuntu, SUSE 等）均已发布补丁。

⏳ **临时规避**： 1. **立即升级** Firefox 至最新版本。 2. 若无法升级，建议 **限制网页权限**，避免访问不可信站点。 3. 启用浏览器 **安全模式** 或禁用相关脚本功能。

🚨 **优先级**：**极高**。 💡 **见解**：Chrome 权限泄露意味着 **沙箱失效**，后果严重。虽为旧漏洞，但原理典型，务必确保浏览器版本更新。