Mozilla: Firefox setzt Win32k-Lockdown um

Die Win32k-API ist für ihre Anfälligkeit bekannt. Prozesse mit Web-Inhalten im Firefox-Browser haben darauf nun keinen Zugriff mehr.

Artikel veröffentlicht am ,
Der Webrender im Firefox ermöglicht den Win32k-Lockdown.
Der Webrender im Firefox ermöglicht den Win32k-Lockdown. (Bild: Pixabay)

Das Entwicklungsteam des Firefox-Browsers berichtet in seinem Hacks-Blog von der Umsetzung eines Meilensteins bei der Prozessisolierung im Firefox. Daran arbeitet das Team seit mehreren Jahren. Der bisher letzte große Schritt dabei war die Umsetzung des sogenannten Win32k-Lockdowns, wie es im Blog-Beitrag heißt.

Stellenmarkt
  1. Fachinformatiker Customer Support (m/w/d)
    INIT Group, Karlsruhe
  2. IT-Security Architekt (m/w/d)
    Mojn GmbH, Bremen
Detailsuche

Die Win32k-API von Windows bietet zahlreiche Systemaufrufe im Zusammenhang mit Funktionen für grafische Darstellungen oder Widgets. Wegen der Anfälligkeit der Schnittstelle sei diese aber immer wieder Ziel von Angreifern gewesen, um aus dem eigenen Prozesskontext oder einer Sandbox in den Kernel auszubrechen, hieß es.

Webrender als Lösung

Genau das soll nun im Firefox nicht mehr ohne weiteres möglich sein. Denn mit dem umgesetzten Lockdown erhalten die Prozesse für Web-Inhalte keinen direkten Zugriff mehr auf die Schnittstelle. Grafische Operationen, Fensterverwaltung, Eingabeverarbeitung und viele weitere Techniken sind damit nicht mehr aus diesen Prozessen heraus nutzbar. Möglich macht das vor allem die Umsetzung der neuen Rendering-Infrastruktur mit dem sogenannten Webrender.

Mit dem Webrender übernimmt ein eigener, speziell abgesicherter GPU-Prozess die Darstellung. Sämtliche Draw-Calls für 2D-Canvas oder 3D-WebGL werden nun über Webrender abgewickelt statt wie bisher direkt. Für Formulare, die bisher auf Styling des Betriebssystems gesetzt haben, nutzt der Firefox-Browser nun eigenes plattformübergreifendes Styling.

Golem Karrierewelt
  1. IT-Grundschutz-Praktiker mit Zertifikat: Drei-Tage-Workshop
    04.-06.07.2022, Virtuell
  2. Go für Einsteiger: virtueller Zwei-Tages-Workshop
    25./26.07.2022, Virtuell
Weitere IT-Trainings

Der Blogpost nennt zudem einige Probleme im Zusammenhang mit dem Windows-Betriebssystem, die dazu führen, dass der Win32k-Lockdown vorerst nur für Systeme mit dem Windows 10 Fall Creators Update oder neuer genutzt wird. Andere Systeme sollen folgen.

Zusätzlich zu Windows setzte das Firefox-Team ähnliche Änderungen bereits für MacOS und Linux um. Unter MacOS haben die Inhalte-Prozesse keinen Zugriff mehr auf den Windowsserver, Linux wurde der Verbindung zum X11-Server abgeschnitten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Ukrainekrieg
Erster Einsatz einer US-Kamikazedrohne dokumentiert

Eine Switchblade-Drohne hat offenbar einen russischen Panzer getroffen. Dessen Besatzung soll sich auf dem Turm mit Alkohol vergnügt haben.

Ukrainekrieg: Erster Einsatz einer US-Kamikazedrohne dokumentiert
Artikel
  1. Deutsche Bahn: 9-Euro-Ticket gilt nicht in allen Nahverkehrszügen
    Deutsche Bahn
    9-Euro-Ticket gilt nicht in allen Nahverkehrszügen

    So einfach ist es dann noch nicht: Das 9-Euro-Ticket gilt nicht in allen Zügen, die mit einem Nahverkehrsticket genutzt werden können.

  2. Verifone: Bundesweite Störung von Girokarten-Terminals
    Verifone
    Bundesweite Störung von Girokarten-Terminals

    In vielen Geschäften lässt sich derzeit nur bar bezahlen. Ursache ist wohl ein Softwarefehler in Kartenzahlungsterminals für Giro- und Kreditkarten.

  3. Cerebras WSE-2: München verbaut riesigen KI-Chip
    Cerebras WSE-2
    München verbaut riesigen KI-Chip

    Als erster Standort in Europa hat das Leibniz-Rechenzentrum (LRZ) ein CS-2-System mit Cerebras' WSE-2 gekauft, welches effizient und schnell ist.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Days of Play: (u. a. PS5-Controller (alle Farben) günstig wie nie: 49,99€, PS5-Headset Sony Pulse 3D günstig wie nie: 79,99€) • Viewsonic Gaming-Monitore günstiger • Mindstar (u. a. MSI RTX 3090 24GB 1.599€) • Xbox Series X bestellbar • Samsung SSD 1TB 79€ [Werbung]
    •  /