美国密西根大学的网络安全人员研究发现即将在中国境内销售的pc中强制安装的绿坝软件存在严重的安全漏洞，由于软件使用定长的缓冲区处理网页的url使得攻击者如果提供一个超长的url就可能导致程序发生缓冲溢出错误，精心构造的数据可以使得攻击者通过网页来利用该漏洞，成功利用此漏洞可以在用户的系统上执行任意代码。由于绿坝程序编写的不规范性，与此类似的漏洞还在该软件中还有。
研究人员还发现绿坝软件用于图像识别的程序使用的是开源的OpenCV软件的图像识别库。而URL过滤黑名单使用的是美国商业软件CyberSitter的黑名单库。可笑的是可能由于疏忽，绿坝的黑名单库中居然还包含一篇2004年的CyberSitter的新闻，仅仅是因为该新闻使用了与黑名单库相同的后缀名。
参考链接：
http://www.cse.umich.edu/~jhalderm/pub/gd/
[...] （转自郑前方的博客，老外的效率真高，我昨天晚上刚开始关注此事，他们的分析报告都出来了。） [...]
Pingback 由 段海新 » 转：绿坝存在严重的安全漏洞 — 六月 12, 2009 @ 1:19 下午