Abo
  • Services:

Sicherheitsloch führt zu Dauerabsturz bei Firefox 1.5 (Upd.)

Beispielcode belegt Programmabsturz

Im kürzlich vorgestellten Firefox 1.5 wurde eine Sicherheitslücke entdeckt, die zu einem wiederholten Absturz des Browsers führen kann. Die Entdecker des Sicherheitslochs behaupten zudem, dass sich über dieses Sicherheitsleck auch Programmcode ausführen lässt.

Artikel veröffentlicht am ,

Das Sicherheitsloch in Firefox 1.5 betrifft die Verarbeitung der Verlaufsdatei history.dat. Durch einen überlangen Eintrag in der history.dat stürzt Firefox 1.5 bei jedem Programmstart auf Grund eines Puffer-Überlaufs ab, so dass sich der Browser erst wieder normal nutzen lässt, nachdem die Verlaufsdatei gelöscht wurde. Mit Beispielcode belegen die Leute von Packetstorm Security den Fehler und behaupten, dass sich über das Sicherheitsloch auch beliebiger Programmcode ausführen lässt.

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. abilex GmbH, Berlin

Gegen einen solchen Angriff könnte man sich schützen, indem man Änderungen an den Verlaufseinstellungen von Firefox 1.5 vornimmt. Wenn man in den Verlaufsoptionen die Anzahl der zu merkenden Tage auf 0 stellt, bleibt die Verlaufsfunktion zwar ohne Wirkung, man riskiert aber nicht, Opfer eines solchen Angriffs zu werden. Ein Patch für Firefox steht bislang nicht bereit.

Das Sicherheitsloch wurde bislang für Firefox 1.5 unter Windows XP mit Service Pack 2 bestätigt. Unklar ist derzeit, ob das Sicherheitsloch auch auf anderen Plattformen auftritt und ob die Sicherheitslücke auch Firefox 1.0.x betrifft.

Nachtrag vom 8. Dezember 2005 um 15:05 Uhr:
Wie heise online berichtet, soll das hier beschriebene Sicherheitsloch auch in Firefox ab der Version 1.0.4 und Opera 8.5 stecken, so dass beide Browser sich dann nicht mehr ohne weiteres starten lassen. Bei Opera 8.5 muss die überlange Titelzeile aus der Datei autosave.ini entfernt werden, damit der norwegische Browser sich wieder starten lässt. Gänzlich unbeeindruckt von dem Sicherheitsloch zeigten sich laut heise online der KDE-Browser und der Internet Explorer 6 von Microsoft.

Nachtrag vom 9. Dezember 2005 um 15:30 Uhr:
Mozilla hat in einem Sicherheitshinweis erklärt, dass der beobachtete Absturz lediglich eine Verzögerung beim Programmstart darstelle. So könne es auf langsamen Rechnern schon ein paar Minuten dauern, bis Firefox nach Ausnutzung der Sicherheitslücke gestartet ist. Das gleiche Verhalten könnte demnach auch für Opera 8.5 gelten, so dass es nicht zu einem Absturz kommt.



Anzeige
Top-Angebote
  1. 199€ (Vergleichspreis 265,99€)
  2. 269€ (Vergleichspreis 319€)HP Pavilion 32
  3. 3,82€

? 25. Aug 2007

Ich nicht, niemals.

Abdulkadir Topal 09. Dez 2005

Cnet hatte wenigstens den Anstand, die Meldung zurückzuziehen, nachdem klar war, dass...

Sinbad 09. Dez 2005

den Hinweis solltest Du dann auch heise mitteilen. Schließlich haben die das ja so...

foreach(:) 08. Dez 2005

auf windows 2000 server viele AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA´a aber kein...

foreach(:) 08. Dez 2005

oh hab den artikel nicht ganz gelesen,


Folgen Sie uns
       


Wacom Intuos im Test

Das Wacom Intuos ist klein und kompakt - fast schon untypisch für Wacom-Geräte. Gerade angehende digitale Künstler freuen sich über die präzise Stifteingabe zu einem erschwinglichen Preis. Allerdings gibt es auch Nachteile - weniger Makrotasten und fehlende Touch-Eingabe gehören dazu.

Wacom Intuos im Test Video aufrufen
P20 Pro im Kameratest: Huaweis Dreifach-Kamera schlägt die Konkurrenz
P20 Pro im Kameratest
Huaweis Dreifach-Kamera schlägt die Konkurrenz

Mit dem P20 Pro will Huawei sich an die Spitze der Smartphone-Kameras katapultieren. Im Vergleich mit der aktuellen Konkurrenz zeigt sich, dass das P20 Pro tatsächlich über eine sehr gute Kamera verfügt: Die KI-Funktionen können unerfahrenen Nutzern zudem das Fotografieren erleichtern.
Ein Test von Tobias Költzsch

  1. Android Huawei präsentiert drei neue Smartphones ab 120 Euro
  2. Wie Samsung Huawei soll noch für dieses Jahr faltbares Smartphone planen
  3. Porsche Design Mate RS Huawei bringt 512-GByte-Smartphone für 2.100 Euro

NUC8i7HVK (Hades Canyon) im Test: Intels Monster-Mini mit Radeon-Grafikeinheit
NUC8i7HVK (Hades Canyon) im Test
Intels Monster-Mini mit Radeon-Grafikeinheit

Unter dem leuchtenden Schädel steckt der bisher schnellste NUC: Der buchgroße Hades Canyon kombiniert einen Intel-Quadcore mit AMDs Vega-GPU und strotzt förmlich vor Anschlüssen. Obendrein ist er recht leise und eignet sich für VR - selten hat uns ein System so gut gefallen.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Crimson Canyon Intel plant weiteren Mini-PC mit Radeon-Grafik
  2. NUC7CJYS und NUC7PJYH Intel bringt Atom-betriebene Mini-PCs
  3. NUC8 Intels Mini-PC hat mächtig viel Leistung

Grenzenloser Datenzugriff: Was der Cloud-Act für EU-Bürger bedeutet
Grenzenloser Datenzugriff
Was der Cloud-Act für EU-Bürger bedeutet

Neue Gesetze in den USA und der EU könnten den Weg für einen ungehinderten und schnellen weltweiten Datenzugriff von Ermittlungsbehörden ebnen. Datenschützer und IT-Wirtschaft sehen die Pläne jedoch sehr kritisch.
Ein Bericht von Friedhelm Greis

  1. Elektronische Beweise EU-Kommission fordert weltweiten Zugriff auf Daten
  2. Panera Bread Café-Kette exponiert Millionen Kundendaten im Netz
  3. Soziale Netzwerke Datenschlampereien mit HIV-Status und Videodateien

    •  /