Firefox 2.0.0.6 grenzt URI-Lücke ein

Windows XP mit Internet Explorer 7 gefährdet

Eine Sicherheitslücke die bei Firefox unter Window XP im Zusammenspiel mit dem Internet Explorer 7 auftritt, erlaubt es, fremden Code auf Windows-Rechnern auszuführen. Firefox 2.0.0.6 schränkt die mit dieser Sicherheitslücke zusammenhängende Gefahr ein, schließt aber die Lücke nicht ganz. Auch andere Applikationen als Firefox sind von dem Problem betroffen, denn der Fehler steckt wohl im Verhalten des Windows-Shell-API.

Anzeige

Laut Mozilla tritt der Fehler bei Firefox nur auf, wenn der Browser unter Windows XP läuft und zudem Microsofts Internet Explorer 7 installiert ist. Dabei kommen zwei Sicherheitslücken zusammen. Das eine von Billy Rios und Nate McFeters entdeckte Problem: URIs für bestimmte Protokolle wie "mailto:" lassen sich nutzen um eine Applikation auf dem System des Nutzers zu öffnen, je nach angegebener Datei-Endung. Dazu müssen die URIs mit "%00" bzw. "%" versehen werden, dann werden sie an einen Datei-Handler übergeben. So lassen sich Programme, deren Pfad bekannt ist, starten.

Zusätzlich gefährlich wird dies durch eine zweite von Jesper Johansson entdeckte Lücke, durch die sich der aufgerufenen Applikation in begrenztem Rahmen Parameter übergeben lassen.

Firefox 2.0.0.6 soll nun die bisher bekannten Möglichkeiten, eine dieser Sicherheitslücke zu nutzen, beseitigen - das eigentliche Problem bleibt aber bestehen, so die Mozilla-Entwickler. Das problematische Verhalten sei Teil des Windows-Shell-API und daher auch andere Internet-Applikationen neben Firefox betroffen. Heise Security dokumentiert die Probleme bei der URI-Übergabe auch bei Skype und Miranda.

Ein Umweg um die Fehler einzudämmen ist, Firefox beim Aufruf von mailto:-URIs fragen zu lassen. Dies lässt sich über "about:config" einstellen. Dazu werden die Einträge "network.protocol-handler.warn-externa" für die Protokolle mailto, news, nntp, und snews auf "true" gesetzt.

Firefox 2.0.0.6 steht ab sofort unter mozilla.com zum Download bereit. Details zu den Änderungen finden sich in den Release Notes. Eine neue Version von Thunderbird soll folgen, da hier das Problem ebenfalls auftritt, nur eben im Zusammenspiel mit anderen Protokollen.


noch treuer FF... 02. Aug 2007

...bin ich der einzige, der seit diese update ein problem mit skripts hat???

urk di burk urk 01. Aug 2007

"wenn der Browser unter Windows XP läuft und zudem Microsofts Internet Explorer 7...

Kommentieren


Das Open Source Weblog / 01. Aug 2007

Firefox 2.0.0.6 Sicherheitsupdate

DimidoBlog / 31. Jul 2007

Firefox 2.0.0.6 - Sicherheitsupdate



Anzeige

  1. Product Manager Software (m/w)
    Kontron Europe GmbH, Augsburg
  2. IT-Ingenieur/in
    Landeshauptstadt München, München
  3. Lead Digital Program Manager (m/w)
    CONDÉ NAST VERLAG GMBH, München
  4. Java Developer hybris E-Commerce (m/w)
    hmmh multimediahaus AG, Bremen

 

Detailsuche


Blu-ray-Angebote
  1. VORBESTELLBAR: Der Hobbit: Die Schlacht der fünf Heere [Blu-ray]
    17,99€ mit Vorbesteller-Preisgarantie
  2. NEU: X-Men Zukunft ist Vergangenheit [Blu-ray]
    12,90€
  3. Iron Man 3 (Steelbook) [Blu-ray] [Limited Edition]
    7,97€

 

Weitere Angebote


Folgen Sie uns
       


  1. Quartalsbericht

    Googles Werbeeinahmen wachsen nicht mehr so stark

  2. Quartalsbericht

    Amazons Ausgaben steigen auf 28,7 Milliarden US-Dollar

  3. Operation Eikonal

    Telekom sieht sich als Abschleppdienst des BND

  4. Android

    Microsoft will in Cyanogen investieren

  5. Wirtschaftsminister

    NRW will 100 Millionen Euro in Breitbandausbau stecken

  6. Word, Excel, Powerpoint

    Microsoft veröffentlicht neue Office-Apps für Android

  7. 3D-Filme im Flugzeug

    Gear VR fliegt in Qantas' A380 mit

  8. Verkehrsgerichtstag

    Nehm will Mautdaten zur Verbrechensaufklärung nutzen

  9. Far Cry 4 & Co

    Mindestens 150.000 Euro Schaden durch Key-Reseller

  10. Certify and go

    BSI räumt lasche Kontrolle von BND-Überwachungsgeräten ein



Haben wir etwas übersehen?

E-Mail an news@golem.de



Neues Betriebssystem: Microsoft nennt viele neue Details zu Windows 10
Neues Betriebssystem
Microsoft nennt viele neue Details zu Windows 10
  1. GDC 2015 Windows-10-Smartphones werden acht Kerne haben
  2. Technical Preview mit Cortana Windows 10 Build 9926 steht zum Download bereit
  3. Microsoft Nicht alle Windows-Phone-Smartphones erhalten Windows 10

Hör-Spiele: Games ohne Grafik
Hör-Spiele
Games ohne Grafik

Heimkino-Raumklang von oben: Dolby Atmos klingt gut, Auro 3D klingt besser
Heimkino-Raumklang von oben
Dolby Atmos klingt gut, Auro 3D klingt besser
  1. DTS:X Probe gehört Dolby-Atmos-Konkurrent arbeitet mit Deckenlautsprechern
  2. Surround-Sound Holpriger Start für Blu-ray-Discs mit Dolby Atmos
  3. Interstellar in 70 mm Berliner Zoo Palast schiebt die Digitalprojektoren beiseite

    •  / 
    Zum Artikel