Firefox 39.0.3 / ESR 38.1.1 behebt Sicherheitslücke

Die Bedingung ist recht einfach: wenn der entsprechende Werbebanner blockiert worden ist. Wie die genaue URL dieses Banners ist, ist nicht öffentlicht bekannt und wird vermutlich auch nicht öffentlich bekannt gegeben, schließlich kann dieser Banner genutzt werden, um Schaden anzurichten und es gibt mit Sicherheit noch viele ungepatchte Systeme. Und ob ein Banner blockiert wird oder nicht, dafür sind normalerweise ja die Filterlisten verantwortlich. Es wird sich also auch gar nicht sagen lassen, dass man mit Blocker X oder Y sicher ist. Vermutlich ist man in den meisten Fällen geschützt gewesen, aber es lässt sich eben nicht mit Sicherheit sagen. Was Mozilla sagte, ist eben, dass Nutzer von Werbeblockern gute Chancen hatten, geschützt gewesen zu sein, und Boersenfeger hat mit seinem Beitrag auch nichts anderes als das ausgesagt. Weder Mozilla noch Boersenfeger haben geschrieben, dass diese Maßnahme mit Sicherheit geschützt hat.

Beiträge melden bringt deutlich mehr als sich gegenseitig öffentlich zu provozieren. Ob eine Meldung eine Reaktion welcher Art auch immer bewirkt, liegt natürlich im Ermessen der Teammitglieder. Aber wenn eine Meldung zu nichts führt, könnte man auch darüber nachdenken, wieso das so ist, sprich ob die eigene Sicht auf die Dinge wirklich auch objektiv gesehen so eindeutig ist, wie man dachte. Aber auch in dem Fall bringt das mehr als sich hier permanent anzugiften, denn Aktionen rufen in der Regel Reaktionen hervor und sowas vergiftet schnell das Klima und nervt nur. Das wiederum kann schnell dazu führen, dass man auch als Teammitglied von besagten Mitgliedern genervt ist und wenn dann mal wirklich was ist, nicht reagiert, wenn sich ein Fall nicht so einudeutig darstellt. Oder als normaler Nutzer genervt ist und später Beiträge als Provokation interpretiert, die so nicht gemeint waren. Nur meine persönliche Sicht.

Hier gibt es noch ein paar interessante Informationen auf Deutsch zur Sicherheitslücke.

Richtig, ein Angriff über diese Sicherheitslücke lässt damit keine Spuren zurück, man findet hinterher nichts auf dem Computer.

Falls es wen interessiert, noch ein Nachtrag zur Sicherheitslücke, die in Firefox 39.0.3 behoben worden ist: Mozilla geht davon aus, dass sich der Angreifer unbefugten Zugang zu Mozillas Bugtracker verschafft und die dort stehenden (nicht öffentlichen) Informationen genutzt hat, um die Sicherheitslücke auszunutzen. Und zwar ist die Annahme, dass es ein Datenleck auf einer anderen Webseite gab und jemand mit den entsprechenden Rechten auf Bugzilla dort dieselben Logindaten verwendet hat, worüber sich der Angreifer Zugang verschafft hat.

Der Account wurde mindestens seit September 2014 unbefugt genutzt, es gibt aber auch Anzeichen, die bis September 2013 zurückgehen. Nach Mozillas Analyse hat der unbefugte Nutzer auf insgesamt 185 nicht öffentliche Bugs zugegriffen, davon 75 Bugs zu Sicherheitslücken, von denen waren 53 schwerwiegende Sicherheitslücken. Von diesen 53 waren bereits 43 behoben, als der Eindringling die Bugs gesichtet hat. Was die anderen zehn Bugs betrifft, sieht es so aus, dass er für zwei Bugs einen Zeitrahmen von weniger als sieben Tagen zwischen Sichtung und Behebung hatte, für fünf Bugs zwischen 7 und 36 Tagen, für die anderen drei 131, 157 respektive 335 Tage. Es ist daher ohne Frage möglich, dass weitere Sicherheitslücken von dieser Person ausgenutzt worden sind, aber konkrete Anzeichen gibt es nur für diese Sicherheitslücke, die in Firefox 39.0.3 behoben worden ist.

In der aktuellsten verfügbaren Firefox-Version sind alle Sicherheitslücken behoben, auf welche der Angreifer Zugriff hatte.

https://blog.mozilla.org/security/2015/…y-for-bugzilla/

Und was können wir alle daraus lernen? Was eigentlich eh klar sein sollte: man benutzt nach Möglichkeit auf jeder Webseite ein anderes Passwort!

Das ist auch richtig, die in Firefox 39.0.3 geschlossene Sicherheitslücke wurde zu dem Zeitpunkt aber bereits ausgenutzt, ein aktueller Browser hat dem Nutzer also erst einmal nicht geholfen, erst später.