Kritische Sicherheitslücke in Firefox bei XML Dateien

[Heaven_69]

Kritische Sicherheitslücke in Mozilla Firefox entdeckt

Der Sicherheitsexperte Guido Landi hat vor Kurzem eine kritische Sicherheitslücke im Internet-Browser Firefox entdeckt. Diese ermöglicht einem Angreifer, beliebige Software auf dem Rechner des Opfers zu installieren.

Nachdem Landi den entsprechenden Code am gestrigen Mittwoch auf einigen Sicherheits-Websites veröffentlicht hat, haben die Entwickler des Browsers sofort eine neue Version von Firefox angekündigt. Version 3.0.8, die den Bugfix beinhalten wird, soll Anfang nächster Woche erscheinen.

Quelle: http://winfuture.de/news,46142.html

[boardraider]

http://www.milw0rm.com/exploits/8285

Aus der winfuture-Quelle:

Die Sicherheitslücke betrifft Landi zufolge sowohl Windows, als auch Linux und Mac OS. Bis zur Veröffentlichung von Firefox 3.0.8 in der kommenden Woche, raten die Entwickler den Anwendern, keine XML-Dateien von unbekannten Personen zu öffnen.

So ein Schwachsinn. Wie der POC zeigt, kann man das von jeder Webseite aus durchführen, man muss ja nur die XML-Datei samt Stylesheet via Iframe einbinden. Wenn schon, dann sollte die Empfehlung lauten, bis zum Erscheinen des Patches auf einen anderen Browser umzusteigen.

An der Stelle zeigt es sich auch wieder, wie wichtig es ist, sein Nutzerkonto über das OS einzuschränken.

Edit:
Der zugehörige Bugreport.
https://bugzilla.mozilla.org/show_bug.cgi?id=485217

[DasIch]

An der Stelle zeigt es sich auch wieder, wie wichtig es ist, sein Nutzerkonto über das OS einzuschränken.

Allerdings können dann die eigenen Daten trotzdem weg sein. Lösungen für das Problem gibt es zwar allerdings ausschließlich für Linux.

[boardraider]

Richtig, die Daten des Users sind trotzdem gefährdet. Insbesondere gilt das auch für das Fx-Profil, in das man bspw. über die Erweiterungsschnittstelle stark eingreifen kann.

[Dr. Evil]

Insbesondere gilt das auch für das Fx-Profil, in das man bspw. über die Erweiterungsschnittstelle stark eingreifen kann.

Das ist eigentlich genauso schwer oder einfach wie der Zugriff auf jeden anderen Ordner...
https://developer.mozilla.org/File_I%2f ... cial_files

[boardraider]

Ich bin mir jetzt nicht ganz sicher, ob du mich verstanden hast.

Wenn es einem Angreifer gelingt auf dem System mit den Rechten des Fx-Prozesses/Users Befehle auszuführen, dann kann er, soweit es die Rechte erlauben, beliebige Dateien bspw. im /home des Users manipulieren. Darunter fällt auch das gesamte Fx-Profil. Durch Manipulation an vorhandenen Erweiterungen oder das (verborgene) hinzufügen weiterer, ist er dann auch in der Lage das Verhalten des Fx (dessen eigentlicher Code außerhalb der Rechte liegen sollte) zu beeinflussen (Keylogger/PW-Stealer etc.).

Darauf wollte ich eigentlich hinaus.

[DasIch]

Genau dass muss nicht zwangsläufig der Fall sein allerdings nur wenn man sich vorher entsprechend mit AppArmor/SELinux auseinander gesetzt hat.

[Feuerfox]

Also bald neue Version!?

[Coce]

Ja, wahrscheinlich am 1. April .

[Estartu]

Ja, wahrscheinlich am 1. April .

Na hoffentlich wird das kein Aprilscherz.

[.Ulli]

Der zugehörige Bugreport.
https://bugzilla.mozilla.org/show_bug.cgi?id=485217

Mit dem Fix wird eine neue Fehlermeldung eingeblendet:

[Feuerfox]

Ja, wahrscheinlich am 1. April .

Na hoffentlich wird das kein Aprilscherz.

Maerz, Maerz!

[Panther1]

Maerz, Maerz!

März 2010

[boardraider]

http://hackademix.net/2009/03/26/lock-d ... ment-11646

Indeed the firefox guys got a poc of the vulnerability 6 months ago so it's not my fault

Zusätzlich:
https://bugzilla.mozilla.org/show_bug.cgi?id=460090

Reported: 2008-10-15 11:59 PDT by Mike Rooney

https://bugzilla.mozilla.org/show_bug.cgi?id=460090#c8

Comment #8 From Martin 2008-11-29 04:15:54 PDT

https://bugzilla.mozilla.org/show_bug.cgi?id=485217#c22

for failing - over the course of four months - to navigate the review process to move one line of code up one space.

Wenigstens reagiert Mozilla zügig, wenn ihnen die Pistole auf der Brust sitzt. Wäre aber vermeidbar gewesen. Daraus lernen?

[Donabella]

Hallo zusammen,

war auf der Suche im Internet nicht erfolgreich. Kann mir jemand von euch sagen, welcher Nightlybuild den Fehler schon behoben hat. Am besten eine Nightly vom 3.1b3/3.5b3.