Abo
  • IT-Karriere:

0-Day: Nutzer des Tor-Browsers werden mit Javascript angegriffen

Wer den Tor-Browsers nutzt, will meist vor allem eins: Anonymität. Eine aktuelle Schwachstelle im Firefox-Browser führt aber dazu, dass Nutzer identifiziert werden können. Das Problem betrifft auch Nutzer des regulären Firefox - ein Patch ist in Arbeit.

Artikel veröffentlicht am ,
Eine Sicherheitslücke im Tor-Browser ermöglicht die Identifikation von Nutzern.
Eine Sicherheitslücke im Tor-Browser ermöglicht die Identifikation von Nutzern. (Bild: David Bates/Golem.de)

Nutzer des Tor-Browsers werden derzeit aktiv mit einer 0-Day-Lücke angegriffen, die einen Fehler im Speichermanagement des verwendeten Firefox-Browsers ausnutzt. Möglicherweise sind auch Nutzer von Firefox ohne Tor-Bundle betroffen. Die Sicherheitslücke soll es Angreifern ermöglichen, Code auf dem Rechner der Tor-Nutzer auszuführen. Mozilla arbeitet noch an einem Patch.

Stellenmarkt
  1. neam IT-Services GmbH, Paderborn
  2. Radeberger Gruppe KG, Raum Frankfurt am Main

Der mutmaßlich verwendete Schadcode wurde auf einer Tor-Mailingliste gepostet. Angeblich soll der Exploit derzeit aktiv ausgenutzt werden.

Nach Angaben von Sicherheitsforschern ist der verwendete Angriff einer Attacke aus dem Jahr 2013 sehr ähnlich. Twitter-Nutzer @TheWack0lian schrieb: "Es ist eigentlich fast exakt der gleiche Payload wie er im Jahr 2013 benutzt wurde." Damals hatte die US-Bundespolizei FBI einen Server, der mutmaßlich an der Verbreitung von Missbrauchsdarstellungen an Kindern beteiligt war, mit einem entsprechenden Exploit infiziert, um einzelne Tor-Nutzer zu enttarnen.

Enttarnung von Tor-Nutzern

Auch im aktuellen Fall wird ein eindeutiger Identifier (Unique Identifier) an einen Server gesendet. Im Jahr 2013 war dieser unter der IP 65.222.202.54 erreichbar, im aktuellen Fall wurden die Daten an 5.39.27.226 gesendet. Der Server steht nach Angaben von Ars Technica beim französischen Webhoster OVH, antwortet aber aktuell nicht mehr auf Anfragen.

Bei der Sicherheitslücke handelt es sich nach Angaben des Sicherheitsforschers Dan Guido um eine Use-After-Free-Lücke. Ars Technica schreibt dazu: Die Lücke sei "zu 100 Prozent effektiv, um eine Remote Code Execution auf Windows-Systemen auszulösen". Der Exploit-Code würde je nach verwendetem Firefox-Browser in verschiedenen Speicherbereichen abgelegt. Unterstützt werden demnach die Versionen 41 bis 50. Der aktuelle Tor-Browser nutzt Version 45 mit Langzeitsupport und ist ebenfalls betroffen.

Der Exploit setzt also aktiviertes Javascript voraus. Wer mit dem Tor-uBrowser verlässlich anonym surfen will, ist ohnehin gut beraten, Javascript auszuschalten, ansonsten gibt es Möglichkeiten für Fingerprinting und eben Angriffe wie diesen. Da auch der normale Firefox-Browser betroffen ist, sollten Nutzer entweder Javascript ausschalten oder vorläufig einen anderen Webbrowser verwenden.

Nachtrag vom 30. November 2016, 12:19 Uhr

In einer früheren Version des Artikels hatten wir geschrieben, dass es sich bei der Sicherheitslücke um einen Buffer Overflow handelt. Das ist falsch, es handelt sich um eine Use-After-Free-Lücke. Wir haben den Text entsprechend aktualisiert.



Anzeige
Hardware-Angebote
  1. 239,00€
  2. 289€
  3. täglich neue Deals bei Alternate.de

Menplant 01. Dez 2016

Adobe Flash wird fast nur noch für Rich Media (Videos und Spiele) sinvoll verwendet. Kann...

Wuestenschiff 01. Dez 2016

Immer diese Pedanten: Javascript läuft auf dem Client, und kann da keine Abfragen auf das...

grslbr 01. Dez 2016

Jo, so kaufen Leute die definitiv nicht ich sind im Dorknetz ein.

grslbr 30. Nov 2016

Weshalb Bargeld immer noch der Hauptbestandteil wirklich jedes ernsthaften Versuches zu...

Squirrelchen 30. Nov 2016

Tracker und Werbung bekommt man mit entsprechenden Addons weg, der Rest ist...


Folgen Sie uns
       


Raspberry Pi 4B vorgestellt

Nicht jedem dürften die Änderungen gefallen: Denn zwangsläufig wird auch neues Zubehör fällig.

Raspberry Pi 4B vorgestellt Video aufrufen
Timex Data Link im Retro-Test: Bill Gates' Astronauten-Smartwatch
Timex Data Link im Retro-Test
Bill Gates' Astronauten-Smartwatch

Mit der Data Link haben Timex und Microsoft bereits vor 25 Jahren die erste richtige Smartwatch vorgestellt. Sie hat es sogar bis in den Weltraum geschafft. Das Highlight ist die drahtlose Datenübertragung per flackerndem Röhrenmonitor - was wir natürlich ausprobieren mussten.
Ein Test von Tobias Költzsch

  1. Smart Watch Swatch fordert wegen kopierter Zifferblätter von Samsung Geld
  2. Wearable EU warnt vor deutscher Kinder-Smartwatch
  3. Sportuhr Fossil stellt Smartwatch mit Snapdragon 3100 vor

Final Fantasy 7 Remake angespielt: Cloud Strife und die (fast) unendliche Geschichte
Final Fantasy 7 Remake angespielt
Cloud Strife und die (fast) unendliche Geschichte

E3 2019 Das Remake von Final Fantasy 7 wird ein Riesenprojekt, allein die erste Episode erscheint auf zwei Blu-ray-Discs. Kurios: In wie viele Folgen das bereits enorm umfangreiche Original von 1997 aufgeteilt wird, kann bislang nicht mal der Producer sagen.

  1. Final Fantasy 14 Online Report Zwischen Cosplay, Kirmes und Kampfsystem
  2. Square Enix Final Fantasy 14 erhält Solo-Inhalte und besonderen Magier
  3. Rollenspiel Square Enix streicht Erweiterungen für Final Fantasy 15

5G-Auktion: Warum der Preis der 5G-Frequenzen so hoch war
5G-Auktion
Warum der Preis der 5G-Frequenzen so hoch war

Dass die Frequenzen für den 5G-Mobilfunk teuer wurden, lasten Telekom, Vodafone und Telefónica dem Newcomer United Internet an. Doch dies ist laut dem Netzplaner Kai Seim nicht so gewesen.
Eine Analyse von Achim Sawall

  1. Funklöcher Hohe Bußgelder gegen säumige Mobilfunknetzbetreiber
  2. Bundesnetzagentur 5G-Frequenzauktion erreicht 6,5 Milliarden Euro
  3. 5G-Auktion Etablierte wollen Preis für 1&1 Drillisch hochtreiben

    •  /