0-Day: Nutzer des Tor-Browsers werden mit Javascript angegriffen
Nutzer des Tor-Browsers werden derzeit aktiv mit einer 0-Day-Lücke angegriffen(öffnet im neuen Fenster) , die einen Fehler im Speichermanagement des verwendeten Firefox-Browsers ausnutzt. Möglicherweise sind auch Nutzer von Firefox ohne Tor-Bundle betroffen. Die Sicherheitslücke soll es Angreifern ermöglichen, Code auf dem Rechner der Tor-Nutzer auszuführen. Mozilla arbeitet noch an einem Patch.
Der mutmaßlich verwendete Schadcode wurde auf einer Tor-Mailingliste gepostet. Angeblich soll der Exploit derzeit aktiv ausgenutzt werden.
Nach Angaben von Sicherheitsforschern ist der verwendete Angriff einer Attacke aus dem Jahr 2013 sehr ähnlich . Twitter-Nutzer @TheWack0lian(öffnet im neuen Fenster) schrieb: "Es ist eigentlich fast exakt der gleiche Payload wie er im Jahr 2013 benutzt wurde." Damals hatte die US-Bundespolizei FBI einen Server, der mutmaßlich an der Verbreitung von Missbrauchsdarstellungen an Kindern beteiligt war, mit einem entsprechenden Exploit infiziert, um einzelne Tor-Nutzer zu enttarnen.
Enttarnung von Tor-Nutzern
Auch im aktuellen Fall wird ein eindeutiger Identifier (Unique Identifier) an einen Server gesendet. Im Jahr 2013 war dieser unter der IP 65.222.202.54 erreichbar, im aktuellen Fall wurden die Daten an 5.39.27.226 gesendet. Der Server steht nach Angaben von Ars Technica(öffnet im neuen Fenster) beim französischen Webhoster OVH, antwortet aber aktuell nicht mehr auf Anfragen.
Bei der Sicherheitslücke handelt es sich nach Angaben des Sicherheitsforschers Dan Guido um eine Use-After-Free-Lücke. Ars Technica(öffnet im neuen Fenster) schreibt dazu: Die Lücke sei "zu 100 Prozent effektiv, um eine Remote Code Execution auf Windows-Systemen auszulösen" . Der Exploit-Code würde je nach verwendetem Firefox-Browser in verschiedenen Speicherbereichen abgelegt. Unterstützt werden demnach die Versionen 41 bis 50. Der aktuelle Tor-Browser nutzt Version 45 mit Langzeitsupport und ist ebenfalls betroffen.
Der Exploit setzt also aktiviertes Javascript voraus. Wer mit dem Tor-uBrowser verlässlich anonym surfen will, ist ohnehin gut beraten, Javascript auszuschalten, ansonsten gibt es Möglichkeiten für Fingerprinting und eben Angriffe wie diesen. Da auch der normale Firefox-Browser betroffen ist, sollten Nutzer entweder Javascript ausschalten oder vorläufig einen anderen Webbrowser verwenden.
Nachtrag vom 30. November 2016, 12:19 Uhr
In einer früheren Version des Artikels hatten wir geschrieben, dass es sich bei der Sicherheitslücke um einen Buffer Overflow handelt. Das ist falsch, es handelt sich um eine Use-After-Free-Lücke. Wir haben den Text entsprechend aktualisiert.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.