Neues Sicherheitsleck in Firefox entdeckt

Mozilla-Team arbeitet an Firefox-Update

Im Mozilla-Browser Firefox wurde ein neues Sicherheitsloch entdeckt, das unter bestimmten Umständen das Ausführen beliebigen Programmcodes erlaubt. Das Sicherheitsleck betrifft auch den aktuellen Firefox 1.0.3; ein Patch steht noch nicht bereit.

Im Zusammenspiel mit einem IFrame- und JavaScript-Sicherheitsleck in Firefox könnten Angreifer beliebigen Programmcode auf fremde Systeme schleusen, indem eine Firefox-Erweiterung geladen wird. Da sich die Sicherheitslücke ausschließlich über den Download einer Firefox-Erweiterung ausnutzen lässt, besteht das Problem nur, wenn bestimmte Voraussetzungen erfüllt sind.

In einer Standardkonfiguration von Firefox ist der Download von Erweiterungen nur von Mozilla-Domains möglich, so dass Angriffe darüber vorerst nicht möglich sind, weil das Mozilla-Team entsprechende Gegenmaßnahmen getroffen hat. Wer also keine anderen Domains in der betreffenden Whitelist eingetragen hat, ist vor etwaigen Angriffen sicher. Schaltet man die Software-Installation in Firefox generell ab, sind solche Angriffe nicht mehr möglich.

Das Mozilla-Team will das Sicherheitsloch in Kürze schließen und dazu Firefox 1.0.4 veröffentlichen. Ein genauer Erscheinungstermin für Firefox 1.0.4 liegt aber derzeit noch nicht vor.