Abo
  • Services:

Cisco: Fehler in H.264-Plugin könnte Firefox-Nutzer betreffen

Ein Fehler in der Speicherverwaltung des H.264-Plugins betrifft potentiell Firefox-Nutzer, da Mozilla dieses zwangsweise installiert. Cisco widerspricht dem. Besonders schwerwiegend ist der Fehler zwar nicht, er offenbart aber ein Problem in der Zusammenarbeit mit Cisco.

Artikel veröffentlicht am ,
Ein Fehler in OpenH.264 zeigt Firefox-Nutzern die Abhängigkeit zu Cisco.
Ein Fehler in OpenH.264 zeigt Firefox-Nutzern die Abhängigkeit zu Cisco. (Bild: Mozilla, Screenshot: Golem.de)

Von einem Fehler in der Speicherverwaltung des OpenH.264-Plugins könnten Nutzer der aktuellen Version 33 des Firefox-Browsers betroffen sein. Denn Mozilla hat den Browser so gestaltet, dass das Plugin automatisch von den Cisco-Servern heruntergeladen und standardmäßig auch aktiviert wird. Nutzer der verschiedenen instabilen Entwicklungszweige des Firefox sollten ebenfalls dazugehören. Der Fehler selbst tritt in allen Veröffentlichungen des Codecs bis einschließlich Version 1.2 auf und hat die CVE-Nummer 2014-8002 zugewiesen bekommen. Laut Cisco sind Firefox-Nutzer jedoch nicht betroffen.

Stellenmarkt
  1. Aenova Group, Marburg
  2. Fette Compacting GmbH, Mechelen (Belgien)

Besonders schwerwiegend ist der Fehler wohl aber nicht. Cisco selbst nimmt nur eine mittlere Schwere an. Zwar kann die Lücke höchstwahrscheinlich dazu genutzt werden, die Ausführung des Browsers zu beenden oder auch in Speicherbereiche zu schreiben und eigenen Code ausführen. Letzteres geschehe dann allerdings nur mit den Berechtigungen der Anwendung. Ausgenutzt werden könnte dies mit einer entsprechend präparierten Datei.

Besonders in Browsern ist diese spezielle Art Fehler häufig, die Use-After-Free genannt wird und es erlaubt, auf bereits freigegebene Speicherbereiche zuzugreifen. Gefunden werden können diese etwa mit Tools wie dem Address Sanitizer von Google. Der Fehler zeigt aber exemplarisch, dass Mozilla sowie fast alle Firefox-Nutzer und eventuell weitere Benutzer des Plugins vom Handeln Ciscos abhängig sind.

Bereits zur Ankündigung der Zusammenarbeit von Mozilla und Cisco wies etwa der Sicherheitsforscher Felix von Leitner alias Fefe in seinem privaten Blog auf eben diese Abhängigkeit hin. Zwar steht OpenH.264 im Quellcode bereit, und für den nun gefundenen Fehler ist ein Update verfügbar. Mozilla dürfte ein Binärmodul wegen der Lizenzbestimmungen der MPEG-LA für H.264 aber nicht selbst verteilen - dies obliegt ausschließlich Cisco. Privatpersonen können den Code aber eigenständig kompilieren und verwenden.

In dem dazugehörigen Bugreport bei Mozilla schreibt der Cisco-Angestellte Ethan Hugg, dass der Fehler in keiner Version des bisher für Firefox bereitgestellten OpenH.264-Moduls vorhanden ist. Noch führen die Mozilla-Hacker den Fehler allerdings nicht als offiziell behoben.

Nachtrag vom 28. November 2014, 13:10 Uhr

Laut Cisco sind Firefox-Nutzer nicht betroffen, wir haben den Artikel entsprechend angepasst.



Anzeige
Blu-ray-Angebote
  1. 4,25€
  2. (2 Monate Sky Ticket für nur 4,99€)

TheUnichi 01. Dez 2014

Ich öffne meist mehrere Tabs, kann gut sein Du wiederholst quasi das, was ich gesagt...

Wallbreaker 28. Nov 2014

Unter Linux ist so ein Plugin völlig sinnfrei. Wozu haben wir denn seit Firefox 30...

hartnegg 28. Nov 2014

Es gibt tatsächlich beide Schalter. Der eine deaktiviert es, der andere entfernt es...

sehr_interessant 28. Nov 2014

Hast du etwa kein Backup deiner Daten in der Cloud? Selber Schuld!

Yoyo117 27. Nov 2014

Bitte les doch erst den Thread bevor du so einen Schmarrn verbreitest. Du musst gar...


Folgen Sie uns
       


Windows 10 on Snapdragon - Test

Wir schauen uns Windows 10 on ARM auf zwei Snapdragon-Notebooks an.

Windows 10 on Snapdragon - Test Video aufrufen
Leistungsschutzrecht/Uploadfilter: Worüber das Europaparlament wirklich abstimmt
Leistungsschutzrecht/Uploadfilter
Worüber das Europaparlament wirklich abstimmt

Das Europaparlament entscheidet am Donnerstag über das Leistungsschutzrecht und Uploadfilter. Doch Gegner und Befürworter streiten bis zuletzt, worüber eigentlich abgestimmt wird. Golem.de analysiert die Vorschläge.
Eine Analyse von Friedhelm Greis

  1. Urheberrecht Europaparlament bremst Leistungsschutzrecht und Uploadfilter
  2. Urheberrecht Freies Netz für freie Bürger
  3. Leistungsschutzrecht Verleger attackieren Bär und Jarzombek scharf

Youtube Music, Deezer und Amazon Music: Musikstreaming buchen ist auf dem iPhone teurer
Youtube Music, Deezer und Amazon Music
Musikstreaming buchen ist auf dem iPhone teurer

Wer seinen Musikstreamingdienst auf einem iPhone oder iPad bucht, muss oftmals mehr bezahlen als andere Kunden. Der Grund liegt darin, dass Apple - außer bei eigenen Diensten - einen Aufschlag von 30 Prozent behält. Spotify hat Konsequenzen gezogen.
Ein Bericht von Ingo Pakalski

  1. Filme und Serien Nutzung von kostenpflichtigem Streaming steigt stark an
  2. Highend-PC-Streaming Man kann sogar die Grafikkarte deaktivieren
  3. Golem.de-Livestream Halbgott oder Despot?

Garmin Fenix 5 Plus im Test: Mit Musik ins unbekannte Land
Garmin Fenix 5 Plus im Test
Mit Musik ins unbekannte Land

Kopfhörer ins Ohr und ab zum Joggen, Rad fahren oder zum nächsten Supermarkt spazieren - ohne Smartphone: Mit der Sport-Smartwatch Fenix 5 Plus von Garmin geht das. Beim Test haben wir uns zwar im Wegfindungsmodus verlaufen, sind von den sonstigen Navigationsoptionen aber begeistert.
Ein Test von Peter Steinlechner

  1. Garmin im Hands on Alle Fenix 5 Plus bieten Musik und Offlinenavigation

    •  /