Firefox 39.0.3 / ESR 38.1.1 behebt Sicherheitslücke

  • Kurze Information: Mozilla verteilt Firefox 39.0.3 und Firefox ESR 38.1.1 und behebt damit eine schwerwiegende Sicherheitslücke im integrierten PDF-Betrachter. Die Lücke muss es in sich haben, wenn Mozilla dafür extra ein Update veröffentlicht, obwohl in vier Tagen eh das nächste planmäßge Update erscheint. Die Lücke wird bereits ausgenutzt.

    https://www.mozilla.org/en-US/security…es/mfsa2015-78/

  • Mozilla hat nun eine ausführliche Ankündigung veröffentlicht:
    https://blog.mozilla.org/security/2015/…/comment-page-1

    Bekannt ist demnach nur, dass die Sicherheitslücke auf Windows- und Linux-Systemen ausgenutzt worden ist. OS X beinhaltet zwar auch die Sicherheitslücke, aber wurde in dem bekannten Fall nicht ausgenutzt. Wer Windows oder Linux nutzt, sollte nach Empfehlung von Mozilla alle Passwörter und Keys ändern, die in den folgenden Dateien gespeichert werden:

    Zitat

    On Windows the exploit looked for subversion, s3browser, and Filezilla configurations files, .purple and Psi+ account information, and site configuration files from eight different popular FTP clients. On Linux the exploit goes after the usual global configuration files like /etc/passwd, and then in all the user directories it can access it looks for .bash_history, .mysql_history, .pgsql_history, .ssh configuration files and keys, configuration files for remina, Filezilla, and Psi+, text files with “pass” and “access” in the names, and any shell scripts.

  • Danke für die Erklärung mit der Versionsnummer.
    Das ist ja echt eine heftige Lücke :o wenn sogar dazu geraten wird sämtliche Passwörter in o.g. Programmen zu ändern. Das bezieht ja auf Programme wie Filezilla und andere FTP Klienten sowie u.a. Pidgin (.purple), die Konfigurationsdateien mit Passwörtern beinhalten, wenn ich das richtig verstanden habe. Ich frage mich, wie so etwas überhaupt möglich ist, dass ein alleiniges Öffnen von einem PDF-Dokument, was mittels integrierten PDF-Betrachter in Firefox, Dateien auf meinem PC auslesen kann. Ich dachte immer, dazu müsste zumindest irgend etwas auf meinem PC eingeschleust worden sein. :twisted:
    Da ich sowohl Filezilla als auch Pidgin benutze und dort zusammen ca. 30 Passwörter gespeichert habe bin ich natürlich extrem verunsichert.
    Ich habe zwar in letzter Zeit mir selten PDF Dokumente im Browser an gesehen, aber man weiß ja nie.
    Zudem wüsste ich gerne ob die Lücke quasi "nur" in den Standard Pfaden der o.g. Programme gucken kann, ob es dort eine Konfigurationsdatei gibt oder quasi den gesamten PC mit allen Festplatten durchsuchen kann? Ich habe nämlich sowohl Pidgin als auch Filezilla nur als portable Version auf einer separaten Partition gelegt. Wäre schön wenn mir jemand diese Frage(n) beantworten kann. Danke

    Was mich etwas beruhigt ist

    Zitat

    People who use ad-blocking software may have been protected from this exploit depending on the software and specific filters being used.

    Hilfe auch im deutschsprachigen Matrix-Chat möglich oder im IRC-Chat
    Meine Anleitungstexte dürfen gerne "geklaut" und weiter verwendet/kopiert werden ;)

  • Wird die 39.0.3 nicht als solche angezeugt, sondern nur als 39.0 ?
    Firefox sagt er wäre aktuell (39.0) und beim Versuch die neueste Version down zu loaden (von Mozilla.de) wird mir auch nur gratuliert, das ich die neueste Version habe.
    Andererseits sagt mir die Update-Chronik das FF zuletzt am 09.07.2015 auf die Version 39.0 upgedatet wurde.
    Als gehe ich mal davon aus, das die 39.0.3 noch garnicht verfügbar ist.

  • Ergänzend: Möglicherweise ist die Version noch nicht sofort für alle Anwender auf dem UpDatewege bereitgestellt. Via Download (siehe Link von Road-Runner) kannst du deinen Firefox aber auf den neuesten Stand bringen...

  • Danke, für die schnelle Antworten.
    Dann ist nur noch die Frage, warum bekommt meiner dann kein Update, bzw. meldet die Mozillaseite, das er aktuell ist?

    Dann warte ich noch mit dem download, evtl. tut sich heute ja noch was.

  • ..weil für Hunderte von Millionen von Anwendern zeitgleich ein UpDate halt nicht angeboten werden kann.. Die Server glühen garantiert...
    Da die Lücke ziemlich kritisch ist und bereits ausgenutzt wird, empfehle ich dir den manuellen Download und das Drüberinstallieren. Keine Angst, dabei geschieht in der Regel nichts. Das Profil solltest du eh regelmäßig speichern, dann machst du dies davor einfach.
    Kopiere zur Sicherung einfach den Profilordner regelmäßig auf ein externes Laufwerk oder einen Datenstick. Dazu muss Firefox geschlossen sein!
    Ich nutze Firesave [Blockierte Grafik: http://i39.tinypic.com/s1kgb4.png] dazu, da dieses Programm auch gleich ein Restore-Feature integriert hat und ohne Fehler funktioniert.
    Download

  • Wer so in Sorge ist, dass er noch vor dem Update von dem Angriff erwischt wird, kann ja bis dahin auf den internen pdf-Viewer verzichten.
    Schwieriger ist die Frage, ob es einen nicht schon längst erwischt hat, denn es gibt keine Spuren, anhand derer man das herausbekommen könnte. Im Zeifelsfall auf Mozilla hören und die Passwörter ändern.

  • Danke, für Eure Hilfe und Informationen.
    Ich mach mich deshalb nicht verrückt. Habe auch nicht vor, in den nächsten Stunden unmengen von PDF'S aus unbekannten Quellen zu ziehen.

  • Da in den o.g. Links von Firefox für Linux die Rede war wollte ich eigentlich gerade hier nachfragen ob damit auch Iceweasel betroffen ist. Habe aber gerade gesehen, das in Iceweasel 38.1.1 genau diese Sicherheitslücke gefixt ist (hier: Debian Sid)

    "Du lachst? Wieso lachst du? Das ist doch oft so, Leute lachen und dann sind sie tot!"

  • Hallo M521.

    Von dem aus was ich bisher mir angelesen habe, zb. bei Heise und den dortigen Kommentaren, aber auch von anderswoher, hab' ich nicht den Eindruck, daß die aktive Benutzung des betroffenen PDF-Viewers tatsächliche Voraussetzung für seine Angreifbarkeit ist. So weisen einige Fachleute daraufhin, daß sogar eine Abschaltung des Viewers womöglich nicht nützt. Angesichts dessen rate ich Dir meinerseits auch, wie andere vor mir im Strang, zu diesem Update ohne weitere künstliche Verzögerungen.
    Einen Zusammenhang mit irgendeinem "Sich-verrückt-Machen" erschließt sich dabei mir persönlich eigentlich nicht: Das Update ist völlig problemlos. Auch mein PC hatte zu denen gehört, welche noch nicht beim Anklicken des Buttons "Über FF" das ausstehende Update meldeten, sondern zu denen, welche -- noch -- die unzutreffende Rückmeldung "Aktuell" bekamen, weil offenkundig in der "Warteliste" halt weniger günstig als andere plaziert.
    Das von mir dann händisch eingeleitete Update war ein Klacks.

    Die Lücke wird übrigens als recht ernsthaft beschrieben, solange ungepatcht.

    abifiz

    Meine smarte, die kommenden Zeitalter bescheiden vorwegnehmende Signatur befindet sich noch in ihrem Herstellungsprozeß. Im 1. Quartal 2034 dürfte mit ihrer Lieferung zu rechnen sein.

    Vorläufig zitiere ich Karl Kraus: „Wer jetzt übertreibt, kann leicht in den Verdacht kommen, die Wahrheit zu sagen.“

  • Zitat von abifiz

    hab' ich nicht den Eindruck, daß die aktive Benutzung des betroffenen PDF-Viewers tatsächliche Voraussetzung für seine Angreifbarkeit ist.


    Oh ja, das hast du recht. Genaueres Lesen hätte mir in diesem Fall zum Vorteil gereicht. Aus dem von Sören verlinkten Artikel:

    Zitat


    The vulnerability comes from the interaction of the mechanism that enforces JavaScript context separation (the “same origin policy”) and Firefox’s PDF Viewer.


    Damit ist auch klar, weshalb es dem russischen Angreifer gelungen ist, die Lücke über ein Werbebanner auszunutzen und weshalb Adblocker u.U. schützen können.
    Damit zurück auf Los: Die Benutzung eines externen pdf-Betrachters hilft nicht!

  • Mag sein, dann frage ich mich aber doch, weshalb davon nichts in dem offiziellen Statement steht sondern nur im Kommentar. Noch interessanter, wie es dann gelingen kann, die Lücke über Werbung auszunutzen. Ganz ohne den pdf-Betrachter überhaupt zu nutzen. Ein PDF-Werbebanner ist mir jedenfalls noch nicht untergekommen. Vielleicht weil sie alle blockiert waren?

  • ... und sicherheitshalber Javascript im externen Betrachter (PDF-XChange Viewer) deaktivieren?
    Was bei mir sowieso schon der Fall ist.

    Firefox 106.0 Standardbrowser & Portabler.
    Windows 10/64 Pro 22H2, 19045.2193, Malwarebytes Premium, Adwcleaner, Thunderbird, Windows Firewall. Keine Tuningsoftware.