Firefox 2.0.0.6 grenzt URI-Lücke ein

Windows XP mit Internet Explorer 7 gefährdet

Eine Sicherheitslücke die bei Firefox unter Window XP im Zusammenspiel mit dem Internet Explorer 7 auftritt, erlaubt es, fremden Code auf Windows-Rechnern auszuführen. Firefox 2.0.0.6 schränkt die mit dieser Sicherheitslücke zusammenhängende Gefahr ein, schließt aber die Lücke nicht ganz. Auch andere Applikationen als Firefox sind von dem Problem betroffen, denn der Fehler steckt wohl im Verhalten des Windows-Shell-API.

Anzeige

Laut Mozilla tritt der Fehler bei Firefox nur auf, wenn der Browser unter Windows XP läuft und zudem Microsofts Internet Explorer 7 installiert ist. Dabei kommen zwei Sicherheitslücken zusammen. Das eine von Billy Rios und Nate McFeters entdeckte Problem: URIs für bestimmte Protokolle wie "mailto:" lassen sich nutzen um eine Applikation auf dem System des Nutzers zu öffnen, je nach angegebener Datei-Endung. Dazu müssen die URIs mit "%00" bzw. "%" versehen werden, dann werden sie an einen Datei-Handler übergeben. So lassen sich Programme, deren Pfad bekannt ist, starten.

Zusätzlich gefährlich wird dies durch eine zweite von Jesper Johansson entdeckte Lücke, durch die sich der aufgerufenen Applikation in begrenztem Rahmen Parameter übergeben lassen.

Firefox 2.0.0.6 soll nun die bisher bekannten Möglichkeiten, eine dieser Sicherheitslücke zu nutzen, beseitigen - das eigentliche Problem bleibt aber bestehen, so die Mozilla-Entwickler. Das problematische Verhalten sei Teil des Windows-Shell-API und daher auch andere Internet-Applikationen neben Firefox betroffen. Heise Security dokumentiert die Probleme bei der URI-Übergabe auch bei Skype und Miranda.

Ein Umweg um die Fehler einzudämmen ist, Firefox beim Aufruf von mailto:-URIs fragen zu lassen. Dies lässt sich über "about:config" einstellen. Dazu werden die Einträge "network.protocol-handler.warn-externa" für die Protokolle mailto, news, nntp, und snews auf "true" gesetzt.

Firefox 2.0.0.6 steht ab sofort unter mozilla.com zum Download bereit. Details zu den Änderungen finden sich in den Release Notes. Eine neue Version von Thunderbird soll folgen, da hier das Problem ebenfalls auftritt, nur eben im Zusammenspiel mit anderen Protokollen.


noch treuer FF... 02. Aug 2007

...bin ich der einzige, der seit diese update ein problem mit skripts hat???

urk di burk urk 01. Aug 2007

"wenn der Browser unter Windows XP läuft und zudem Microsofts Internet Explorer 7...

Kommentieren


Das Open Source Weblog / 01. Aug 2007

Firefox 2.0.0.6 Sicherheitsupdate

Javascript Blog / 31. Jul 2007

Neue Firefox-Version

DimidoBlog / 31. Jul 2007

Firefox 2.0.0.6 - Sicherheitsupdate



Anzeige

  1. Mitarbeiter (m/w) Organisation und IT
    Johann Grohmann GmbH & Co. KG, Bisingen
  2. Software-Entwickler (m/w) Embedded Systems
    Gebrüder Frei GmbH & Co., Albstadt
  3. Content Manager/in
    Erich Schmidt Verlag GmbH & Co. KG, Berlin
  4. Java Software Developer (m/w)
    afb Application Services AG, München

 

Detailsuche


Folgen Sie uns
       


  1. Spiele-API

    DirectX-11 wird parallel zu DirectX-12 weiterentwickelt

  2. Streaming-Box

    Netflix noch im Herbst für Amazons Fire TV

  3. Schnell, aber ungenau

    Roboter springt im Explosionsschritt

  4. Urteil

    Foxconn-Arbeiter wegen iPhone-6-Diebstahl verhaftet

  5. Weniger Consumer-Notebooks

    Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab

  6. XSS

    Cross-Site-Scripting über DNS-Records

  7. Venue 8 7000

    6-mm-Tablet wird mit Dell Cast zum Desktop

  8. HTML5-Videostreaming

    Netflix arbeitet an Linux-Unterstützung

  9. iPhone 6 und iPhone 6 Plus im Test

    Aus klein mach groß und größer

  10. Cloudflare

    TLS-Verbindungen ohne Schlüssel sollen Banken schützen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Netflix-Start in Deutschland: Der Kampf um den Video-on-Demand-Markt
Netflix-Start in Deutschland
Der Kampf um den Video-on-Demand-Markt

Alcatel Onetouch Fire E im Kurztest: Gutes Gehäuse, träges Betriebssystem
Alcatel Onetouch Fire E im Kurztest
Gutes Gehäuse, träges Betriebssystem
  1. Firefox-Nightly Web-IDE von Mozilla zum Testen bereit

Test Destiny: Schicksal voller Widersprüche
Test Destiny
Schicksal voller Widersprüche
  1. Destiny 500 Millionen US-Dollar Umsatz mit "steriler Welt"
  2. Destiny "Größter Unterschied sind sehr pixelige Schatten"
  3. Bungie Kostenloses Upgrade von Old- zu Current-Gen-Konsolen

    •  / 
    Zum Artikel