Firefox 2.0.0.6 grenzt URI-Lücke ein

Windows XP mit Internet Explorer 7 gefährdet

Eine Sicherheitslücke die bei Firefox unter Window XP im Zusammenspiel mit dem Internet Explorer 7 auftritt, erlaubt es, fremden Code auf Windows-Rechnern auszuführen. Firefox 2.0.0.6 schränkt die mit dieser Sicherheitslücke zusammenhängende Gefahr ein, schließt aber die Lücke nicht ganz. Auch andere Applikationen als Firefox sind von dem Problem betroffen, denn der Fehler steckt wohl im Verhalten des Windows-Shell-API.

Anzeige

Laut Mozilla tritt der Fehler bei Firefox nur auf, wenn der Browser unter Windows XP läuft und zudem Microsofts Internet Explorer 7 installiert ist. Dabei kommen zwei Sicherheitslücken zusammen. Das eine von Billy Rios und Nate McFeters entdeckte Problem: URIs für bestimmte Protokolle wie "mailto:" lassen sich nutzen um eine Applikation auf dem System des Nutzers zu öffnen, je nach angegebener Datei-Endung. Dazu müssen die URIs mit "%00" bzw. "%" versehen werden, dann werden sie an einen Datei-Handler übergeben. So lassen sich Programme, deren Pfad bekannt ist, starten.

Zusätzlich gefährlich wird dies durch eine zweite von Jesper Johansson entdeckte Lücke, durch die sich der aufgerufenen Applikation in begrenztem Rahmen Parameter übergeben lassen.

Firefox 2.0.0.6 soll nun die bisher bekannten Möglichkeiten, eine dieser Sicherheitslücke zu nutzen, beseitigen - das eigentliche Problem bleibt aber bestehen, so die Mozilla-Entwickler. Das problematische Verhalten sei Teil des Windows-Shell-API und daher auch andere Internet-Applikationen neben Firefox betroffen. Heise Security dokumentiert die Probleme bei der URI-Übergabe auch bei Skype und Miranda.

Ein Umweg um die Fehler einzudämmen ist, Firefox beim Aufruf von mailto:-URIs fragen zu lassen. Dies lässt sich über "about:config" einstellen. Dazu werden die Einträge "network.protocol-handler.warn-externa" für die Protokolle mailto, news, nntp, und snews auf "true" gesetzt.

Firefox 2.0.0.6 steht ab sofort unter mozilla.com zum Download bereit. Details zu den Änderungen finden sich in den Release Notes. Eine neue Version von Thunderbird soll folgen, da hier das Problem ebenfalls auftritt, nur eben im Zusammenspiel mit anderen Protokollen.


noch treuer FF... 02. Aug 2007

...bin ich der einzige, der seit diese update ein problem mit skripts hat???

urk di burk urk 01. Aug 2007

"wenn der Browser unter Windows XP läuft und zudem Microsofts Internet Explorer 7...

Kommentieren


Das Open Source Weblog / 01. Aug 2007

Firefox 2.0.0.6 Sicherheitsupdate

DimidoBlog / 31. Jul 2007

Firefox 2.0.0.6 - Sicherheitsupdate



Anzeige

  1. Supporter BekB (m/w)
    Deutsche Telekom Technik GmbH, Stahnsdorf
  2. IT-Project Manager - Industrie 4.0 (m/w)
    Bosch Software Innovations GmbH, Berlin
  3. Teamleitung (m/w) Software
    Continental AG, Markdorf
  4. Software-Entwicklerinnen / Software-Entwickler
    Deutsche Bundesbank, Hamburg

Detailsuche


Top-Angebote
  1. FILM-TIEFPREISWOCHE: ÜBER 9.000 TITEL REDUZIERT
  2. Blu-ray-Box-Sets reduziert
    (u. a. Ocean's Trilogy 14,97€, The Wire 69,97€, Lethal Weapon 1-4 16,97€, Band of Brothers 17...
  3. 3D-Blu-rays reduziert
    (u. a. Jurassic Park 11,97€, Die Hobbit Trilogie 49,97€, Hotel Transsilvanien 9,97€)

Weitere Angebote


Folgen Sie uns
       


  1. Google

    Chrome pausiert ab September einige Flash-Werbung

  2. Mobilfunknetz

    Bahn will WLAN im ICE mit allen Netzbetreibern verbessern

  3. Rare Replay im Test

    Banjo, Conker und mehr im Paket

  4. Ubisoft

    Server von World in Conflict werden abgestellt

  5. Rechner aus der DDR

    Die Verklärung der Kleincomputer

  6. Netzbetreiber

    Exklusives Vectoring der Telekom soll nur wenigen nützen

  7. Psyonix

    Rocket League erscheint für OS X und SteamOS

  8. Tool

    Microsoft Snip erzeugt Screenshots mit Animationen und Sprachmemos

  9. Sport oder nicht?

    Was E-Sport dem Kirschkernweitspucken voraushat

  10. Valve Software

    HTC Vive erst 2016 in größeren Stückzahlen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Helium-3: Kommt der Energieträger der Zukunft vom Mond?
Helium-3
Kommt der Energieträger der Zukunft vom Mond?
  1. Stratolaunch Carrier Größtes Flugzeug der Welt soll 2016 erstmals starten
  2. Escape Dynamics Mikrowellen sollen Raumgleiter von der Erde aus antreiben
  3. Raumfahrt Transformer sollen den Mond beleuchten

20 Jahre im Einsatz: Lebenserhaltende Maßnahmen bei Windows 95
20 Jahre im Einsatz
Lebenserhaltende Maßnahmen bei Windows 95
  1. Windows-Insider-Programm Chrome hat Probleme mit Windows 10 Build 10525
  2. Internet Explorer Notfall-Patch für Microsofts Browser
  3. Vor dem Start von Windows 10 Steigender Marktanteil für Windows 7

The Flock im Test: Versteck spielen, bis alle tot sind
The Flock im Test
Versteck spielen, bis alle tot sind
  1. Lara Go im Test Tomb Raider auf Rätseltour
  2. Ronin im Test Auftragsmord mit Knobelpausen
  3. Test Til Morning's Light Abenteuer von Amazon

  1. Re: Ja, und wenn man nur Geräte von Apple betrachtet

    Koto | 14:38

  2. Re: Trittbrettfahrer

    Trollversteher | 14:38

  3. Werbung vor nem Werbetrailer.

    EvilSheep | 14:37

  4. Re: Geplante Obsoleszenz

    DragonHunter | 14:37

  5. In Moskau läufts

    LastSamuraj | 14:36


  1. 14:38

  2. 14:09

  3. 14:05

  4. 12:21

  5. 12:07

  6. 11:10

  7. 10:58

  8. 10:54


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel