Firefox 3.5.1: Neue Sicherheitslücke
Zitat:
Mozilla hat erst kürzlich ein Update für den hauseigenen Browser herausgegeben. Inzwischen wurde eine weitere kritische Lücke gefunden. Die Empfehlung der Entwickler von Mozilla ist und war es, auf die derzeit aktuellste Version 3.5.1 zu updaten. Eine bedenkliche Sicherheitslücke könnte von Angreifern ausgenutzt werden, hieß es. Nur kurze Zeit nach dem Versions-Update wurde eine weitere Schwachstelle ausfindig gemacht. Davon ist ersten Meldungen zufolge auch die neueste Ausgabe des freien Browsers betroffen. Überdies könnte sich der Bug auch in älteren Versionen des Firefox ausnutzen lassen. Zahlreiche namhafte Sicherheitsdienstleister, darunter das SANS Internet Storm Center und die IBM ISS X-Force, haben die Angelegenheit mittlerweile bestätigt. Ferner kann durch einen zu langen Unicode-String, welcher an die document.write-Methode übergeben wird, ein Puffer-Überlauf provoziert werden. Die daraus entstehenden Folgen könnten für den Anwender weit reichend sein. Beispielsweise könnte auf diese Weise Schadcode auf das System des Opfers eingeschleust und ausgeführt werden. Durchaus denkbar sei die vollständige Übernahme des Rechners, so die Experten. Sollte der Angriff nicht glücken, so würde der Browser auf jeden Fall deutlicher langsamer werden und später vermutlich abstürzen. Ein "proof-of-concept" wurde bereits veröffentlicht. Gegenwärtig gibt es keine offizielle Abhilfe für dieses Problem. Wie in vielen anderen Fällen auch empfiehlt sich die Verwendung von Sicherheits-Addons. Firefox, Mozilla Firefox, Firefox 3.5.1Allen voran reiht sich in diesem Zusammenhang "NoScript", welches das unerwünschte Ausführen von Code verhindern kann, ein. Bedenklich erscheint diesbezüglich die Meldung von den eEye-Experten. Angeblich könnten Erweiterungen wie NoScript zwar grundsätzlich die Ausführung von JavaScript unterbinden, im vorliegenden Fall sei dies jedoch nicht immer gewährleistet. Gemeint ist damit ein Angriff via XSS oder über eine unterwanderte Webseite, welche auf der sogenannten Whitelist steht.
Quelle: gulli.com
