app.support.baseURL Problem Sicherheitslücke?

Zitronella

Heute war ein Nutzer im Chat mit dem Problem wenn er in Firefox Hilfe--> Firefox-Hilfe klickte eine dubiose Seite aufgerufen wurde, nämlich

Code

http://ww1.firefox-help.com/

In den Informationen zur Fehlerbehebung (Text in die Zwischenablage kopieren) war nichts groß verdächtiges zu sehen, auch keine user.js
Mit AdwCleaner und Junkware Removal Tool wurde sehr viel gefunden und gelöscht. Das Problem bestand aber weiter.
Dann ließ ich mir noch einmal die Infos zur Fehlerbehebung geben, (da ich einen Verdacht hatte und dies reproduzieren konnte) dieses Mal aber mit "Rohdaten in die Zwischenablage kopieren" und dort sah man dann dass dort stand:
"supportURL": "",
normal wäre unter Windows
"supportURL": "https://support.mozilla.org/1/firefox/50.0/WINNT/de/",

Das heißt, wahrscheinlich hat irgend eine Ad/Malware diesen Eintrag geändert (diesen Fall hatten wir schon einmal im Jahr 2015) hat.

Meine Frage ist nun: Warum wird da überhaupt eine URL erzeugt wenn der Eintrag doch leer ist? :-?? Ist dies nicht ein Sicherheitsproblem?

Durch Bereinigen von Firefox wurde der Fall dann natürlich letztendlich gelöst.

.Hermes

Keine Ahnung was unter Windows so abgeht, unter Linux gibt es keine Einstellung "supportURL".

Boersenfeger

Hier sieht dieser Filter unter Win 7 Pro so aus...

Zitat

app.support.baseURL;https://support.mozilla.org/1/firefox/%VERSION%/%OS%/%LOCALE%/

Sören Hentzschel

Zitat von .Hermes

Keine Ahnung was unter Windows so abgeht, unter Linux gibt es keine Einstellung "supportURL".

In der JSON-Repräsenation gibt es das. Klicke den entsprechenden Button auf about:support.

.Hermes

Gefunden, Danke.

An JSON dachte ich überhaupt nicht.

Zitronella

Boersenfeger: unter about:support bei "Rohdaten in die Zwischenablage kopieren. Davon sprach ich.
unter about:config steht bei mir auch app.support.baseURL;https://support.mozilla.org/1/firefox/%VERSION%/%OS%/%LOCALE%/

Der Wert, der bei about:support (Rohdaten) steht wird ja durch den about:config Wert generiert.

ccm

Zitat von Zitronella

Ist dies nicht ein Sicherheitsproblem?

Ich finde schon. Dadurch könnte man auf schädliche Seiten gelenkt werden. Als Anwender rechnet man nicht unbedingt damit, dass selbst der Hilfelink im Firefox auf eine böse Seite führt.
Der Rechner war natürlich bereits vorher infinziert. Trotzdem ist das ein zusätzliches Problem, das auch dann noch bestehen bleibt, wenn man die Malware entfernt hat.

Boersenfeger

OK, da finde ich (mit Nightly) dies

Zitat

"supportURL": "https://support.mozilla.org/1/firefox/53.0a1/WINNT/de/"

Verzeih die unqualifizierte Störung..

Zitronella

Und hier wieder ein Beispiel: https://www.camp-firefox.de/forum/viewtopi…027403#p1027396

Zitat von Sodalith

Ich werde direkt in den Einstellungen von Firefox weitergeleitet.
Wenn ich zB unter Einstellungen auf Hilfe oder auf weitere Informationen klicke, gewinne ich Handys und erhalte Tipps zum abnehmen oder werde zu online Shops verwiesen.
Selbst wenn ich das Menü "Hilfe" öffne erfolgen solche Weiterleitungen

Die Ursache ist Ad/Malware, aber die Weiterleitung erfolgt weil der String von supportURL wieder leer ist (sieht man in den Rohdaten) und durch updateChannel steht anstatt "release" eben "default"

Zitat von Sodalith

Code

"updateChannel": "default",
    "supportURL": "",

durch den leeren String bei supportURL leitet Firefox random weiter auf irgendwelche dubiosen Webseiten. Ich frage mich ernsthaft warum so etwas überhaupt möglich sein kann. Welche URL wird da genau angesprochen wenn der String leer ist? Warum wird da überhaupt eine Seite angesprochen anstatt einfach einen Fehler an zu zeigen?