Abo
  • Services:

Linux und Mac: Tor-Browser-Exploit verrät IP-Adresse einiger Nutzer

Unter bestimmten Voraussetzungen verrät der Tor-Browser die unverschleierte IP-Adresse der Nutzer. Betroffen sind nur Mac und Linux-Versionen des Firefox-Bundles, in der täglichen Nutzung dürfte der Fehler nur wenige Personen betreffen.

Artikel veröffentlicht am ,
Eine Sicherheitslücke im Tor-Browser ist geschlossen worden.
Eine Sicherheitslücke im Tor-Browser ist geschlossen worden. (Bild: David Bates/Golem.de)

Das Tor-Projekt hat ein Notfallupdate für die Linux- und Mac-Versionen des Tor-Browser-Bundles veröffentlicht. Unter bestimmten Umständen verraten die beiden betroffenen Versionen die reale IP-Adresse der Nutzer und machen somit die angestrebte Anonymität kaputt. Die Windows-Version des Tor-Browsers, die Tails-Distribution und der im Alpha-Test befindliche Tor-Browser mit Sandboxing sollen nicht betroffen sein.

Stellenmarkt
  1. Bertrandt Ingenieurbüro GmbH, Köln
  2. Robert Bosch GmbH, Leonberg

Der Fehler tritt auf, wenn Nutzer eine Adresse mit dem Präfix file:// aufrufen und nicht, wie gewöhnlich mit http:// oder https://. Rufen Nutzer eine solche Adresse auf, wird eine direkte Interaktion zwischen dem Betriebssystem und dem Webserver getriggert und die IP-Adresse nicht mehr anonymisiert. Ob die Webseite für einen erfolgreichen Angriff weitere Voraussetzungen erfüllen muss, geht aus dem Blogpost des Finders der Sicherheitslücke, Filippo Cavallarin, dem CEO der Firma Segment, nicht hervor. Das normale Browsen im Tor-Browser wird durch den Fehler nicht beeinflusst.

javascript:void(0)Workaround kann noch zu Problemen führen

Das Tor-Projekt hat einen vorläufigen Fix veröffentlicht, der jedoch zu Problemen mit file://-Ressourcen führen kann. Für die meisten Nutzer dürfte das allerdings zu verschmerzen sein. Die aktuelle Version für Mac und Linux ist 7.0.9. Windows-Nutzer können auf Version 7.0.8 bleiben. Derzeit soll es keine Belege für aktive Angriffe mit dem Exploit geben.

Am Montag, dem 6. November, soll eine neue Version im Alpha-Channel erscheinen, um auch in diesen Versionen die Sicherheitslücke zu patchen. Diese Versionen sind aber ohnehin nicht für den Produktiveinsatz gedacht.



Anzeige
Top-Angebote
  1. (aktuell u. a. Seagate Expansion+ Desktop 4 TB für 88€, Seagate Backup Plus Hub 6 TB für...
  2. 17,49€
  3. 299€ + 4,99€ Versand oder Abholung im Markt
  4. 0,00€

R00toym 06. Nov 2017

Kannst du das ganze bitte etwas erläutern? Ich habe das verhalten absolut nicht...

GetModuleHandle 05. Nov 2017

Immer denkst du nur an die Scheine .. Bleibe doch mal auf dem Teppich. #Troll


Folgen Sie uns
       


HTC Vive Pro - Test

Das HTC Vive Pro ist ein beeindruckendes Headset und ein sehr gutes Gesamtkonzept. Allerdings zweifeln wir am Erfolg des Produktes in unserem Test - und zwar wegen des sehr hohen Kaufpreises und fehlenden Zubehörs.

HTC Vive Pro - Test Video aufrufen
Physik: Maserlicht aus Diamant
Physik
Maserlicht aus Diamant

Ein Stickstoff-Fehlstellen-basierter Maser liefert kontinuierliche und kohärente Mikrowellenstrahlung bei Raumtemperatur. Eine mögliche Anwendung ist die Kommunikation mit Satelliten.
Von Dirk Eidemüller

  1. Xiaoice und Zo Microsoft erforscht menschlicher wirkende Sprachchat-KIs
  2. Hyperschallgeschwindigkeit Projektil schießt sich durch den Boden
  3. Materialforschung Stanen - ein neues Wundermaterial?

HP Z2 Mini Workstation G3 im Test: Leises Rauschen hinterm Monitor
HP Z2 Mini Workstation G3 im Test
Leises Rauschen hinterm Monitor

Unterm Tisch, auf dem Tisch oder hinter den Bildschirm geklemmt: HPs Z2 Mini Workstation ist ein potentes, wenn auch nicht gerade sehr preiswertes Komplettsystem. Den Preis ist der PC aber wert, denn er ist leise, modular und kann einfach gewartet werden. Der Admin dankt!
Ein Test von Oliver Nickel

  1. HP Pavilion Gaming Hardware für Gamer, die sich Omen nicht leisten wollen
  2. Chromebook x2 HP präsentiert Chrome-OS-Detachable mit Stift
  3. Laserjet Pro M15w und M28w HPs Laserdrucker schrumpfen auf 34 Zentimeter Länge

BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
BeA
Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
Eine Exklusivmeldung von Hanno Böck

  1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
  2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
  3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

    •  /