Google的IE浏览器插件Chrome Frame出现高危漏洞

在今年9月份谷歌针对IE为XP、Vista系统IE用户推出了一款IE浏览器插件Chrome Frame，该插件可以使得IE浏览器转变成为Chrome浏览器，IE相应会获得Chrome的性能和功能。就在谷歌发布这款插件以后， 微软就向外部发表了声明，建议用户不要安装Chrome Frame会让IE存安全隐患，此后Google也立刻就给予了回应，指出Chrome Frame采用和Chrome相同的安全机制因此是非常安全的，称Chrome Frame会让IE浏览器更安全。

据国外媒体最新消息，微软漏洞研究（Microsoft Vulnerability Research）团队的一位安全研究人员发现在Chrome Frame中存在的一个“高危”安全漏洞，攻击者可以利用该漏洞绕过浏览器的跨域保护（cross-origin protection）。微软以证明安装Chrome Frame会使得IE浏览器不再那么安全。火狐也曾指责谷歌Chrome Frame IE插件会让IE存在安全隐患

Google随后也确认了这一漏洞，Google Chrome开发技术的一位负责人Mark Larson这样描述此漏洞：“级别：高危。攻击者可以绕过跨域保护，虽然很重要，但是这个“高危”级别问题并不会引起恶意软件影响用户的机器，我们目前还没有发现任何案例。”

Google已经发布了最新版本的Chrome Frame（版本为4.0.245.1），修复了该漏洞，Chrome Frame采用和Chrome相同的升级机制，可以自动接受安装补丁，因此用户手动无需下载安装最新版本。

根据ZDnet在64位Vista平台上对IE7、IE8、安装Chrome Frame后的IE7和IE8、Chrome 3进行的Sunspider JavaScript基准测试，安装Chrome Frame后的IE7速度提升了近40倍，安装该插件的IE8速度提升了10倍，两者在JavaScript处理速度上基本和Google Chrome持平。

Chrome Frame插件适用于Windows XP、Vista系统的IE6、IE7、IE8浏览器用户。用户安装使用该插件之后，IE浏览器将会使用Chrome的WebKit引擎处理网页。它这个插件有点类似于FireFox的多浏览器核心扩展，支持在IE6.0浏览器以及IE7,IE8上直接嵌入Chrome浏览器的渲染和JS引擎核心。