Kritisches Leck in Firefox

  • Durch zwei Fehler bei der Verarbeitung von Javascript lässt sich die aktuelle Firefox-Version beliebigen Code unterschieben.

    Zwei schwere Sicherheitslecks lauern in der aktuellen Version 1.0.3 des Browsers Firefox. So lassen sich durch Fehler bei der Handhabung von iFrames URLs mit den Rechten anderer URLs aus der Browser-Histroy aufrufen sowie Programme mangels Verifizierung eines Parameters in der Funktion "InstallTrigger.install" unter Umgehung von Sicherheitsrestriktionen ausführen. Durch eine Kombination beider Lecks kann beliebige Software auf das System geladen und ausgeführt werden. Mangels eines Patches sollte deshalb Javascript deaktiviert werden; alternativ dazu kann man auch die Option, Webseiten das Installieren von Software zu erlauben, deaktivieren.

  • Das ganze ist aber nicht soo wild, da betreffender Schadcode vorgaukeln muss eine Erweiterung zu installieren, und zwar von einer Seite, die in der "Websites das Installieren von Software" Whitelist (Standardmäßig: nur update.mozilla.org; Siehe Einstellungen/Web Features) aufgenommen ist.
    Mozilla hat allerdings bereits reagiert und entsprechende Seiten so gestaltet, dass dieses vorgaukeln nicht mehr funktioniert:

    Zitat von http://www.heise.de/newsticker/meldung/59374

    Offenbar hat die Mozilla Foundation mittlerweile ihren Add-on-Server modifiziert, sodass der Exploit nicht mehr funktioniert. Dieser missbraucht nämlich unter anderem die Installationsfunktionen für Erweiterungen, um Schadcode in den Rechner zu schleusen. Standardmäßig darf nur update.mozilla.org Add-ons installieren. Der Fehler im Browser selbst wird damit allerdings nicht beseitigt.

    (Wäre interessant zu wissen, ob extensionsmirror.nl schon was unternommen hat).
    Näheres siehe den kritische sicherheitslücke in firefox 1.0.3 Thread im Sicherheitsecken Forum (wo so ein Thema auch hingehört.)

  • sparks61:

    Es ist immer gut bei solchen Angaben ein Quelle zu nennen, damit man weißwoher du das hast. Du hast es ja nicht selber rausgefunden... ;)
    So kann man das einfach besser nachvollziehen, als wenn das irgenwo rauskopiert ist (Copyright beachten!).

    Just my 2 cent...

    Andy

  • das ist nun schon der tritte therad zum gleichen thema,

    das war der erste

    bitte hier weiterposten

    gruss

    "Krieg ist ein zu ernstes Geschäft, als daß man ihn den Generälen überlassen dürfte." Georges B. Clemenceau (1841-1929), Französischer Journalist und Politiker/Ministerpäsident