• IT-Karriere:
  • Services:

Mozilla: Update-Mechanismus von Firefox hat kaum kritische Lücken

Mozilla hat den Firefox Application Update Service (AUS) einem Audit unterziehen lassen. Der Abschlussbericht dazu steht nun bereit. Das beauftragte Sicherheitsunternehmen bewertet den Update Service insgesamt als gut.

Artikel veröffentlicht am , Ulrich Bantle/Linux Magazin/
Mozilla lässt seine Software regelmäßig durch Audits überprüfen.
Mozilla lässt seine Software regelmäßig durch Audits überprüfen. (Bild: Mozilla)

Der Firefox Application Update Service (AUS) ist eine der wohl wichtigsten Supportkomponenten für Mozilla, immerhin werden darüber weltweit die Aktualisierungen für den Firefox-Browser ausgeliefert. Mozilla hat deshalb, wie bei dem Unternehmen üblich, den AUS einem Sicherheitsaudit unterziehen lassen und stellt nun die Ergebnisse bereit.

Stellenmarkt
  1. Fachhochschule Südwestfalen, Iserlohn
  2. Der Polizeipräsident in Berlin, Berlin

Bei dem im März und April 2018 durchgeführten Audit sind einige Fehler aufgedeckt worden, darunter 14 Sicherheitslücken, die aber nicht als kritisch eingestuft wurden. Zudem seien 21 weitere Probleme gefunden worden, die jedoch keinen Sicherheitsbezug hätten, heißt es in dem Bericht (PDF).

Das Unternehmen X41 D-Sec war damit beauftragt, alle am Update-Prozess beteiligten Komponenten auf Sicherheitsprobleme zu überprüfen: angefangen bei den am Update beteiligten Komponenten des Browser-Clients über das Backend bis hin zur Management Webapplikation (Balrog). Neben den dafür durchgeführten Penetrationstests sei auch der Quellcode analysiert worden.

Lücken mit wenig Potenzial

Die einzige ernstzunehmende Lücke sei ein Cross-Site-Request-Forgery (CSRF) in der Balrog-Komponente gewesen. Einige weitere seien Speicherfehler gewesen oder auch die Möglichkeit für einen Denial-of-Service-Angriff. In den überwiegenden Fällen wäre es für einen erfolgreichen Angriff jedoch nötig gewesen, kryptographische Signaturen zu umgehen, was sehr schwierig ist und die eigentlichen Probleme deshalb insgesamt weniger gravierend mache. Dank mehrerer Schichten zur Authentifizierung sei das Risiko für einen Angriff damit eher gering, schreibt Mozilla. Trotzdem seien natürlich einige Verbesserungen vorgenommen worden.

Das Sicherheitsunternehmen sieht auch in den 21 Problemen, die quasi nebenbei gefunden wurden, eine gewisse Bedrohung für die Sicherheit des Firefox-Updates. Zwar sei keines dieser Probleme direkt sicherheitsrelevant, es könne aber nicht ausgeschlossen werden, dass dahinter nicht doch noch ein Angriffsvektor stecke. Auch diese sollten inzwischen behoben sein.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. 139,90€

Minimee 12. Okt 2018

Was mir bei Mozilla Update gefällt ist: ... das der Update Dienst nicht ständig im...

1e3ste4 12. Okt 2018

Stimmt. Laut Überschrift gäbe es wg. "kaum" mind. eine kritische Lücke. Im Text steht...

aPollO2k 11. Okt 2018

Ist es hier eigentlich zum Volkssport geworden sarkastischen Trollpostings zu erstellen...


Folgen Sie uns
       


IBM - von der Lochkarte zum Quantencomputer (Golem Geschichte)

Golem.de erzählt die über 100-jährige Geschichte von Big Blue im Video.

IBM - von der Lochkarte zum Quantencomputer (Golem Geschichte) Video aufrufen
Programmiersprache Go: Schlanke Syntax, schneller Compiler
Programmiersprache Go
Schlanke Syntax, schneller Compiler

Die objektorientierte Programmiersprache Go eignet sich vor allem zum Schreiben von Netzwerk- und Cloud-Diensten.
Von Tim Schürmann


    Golem on Edge: Wo Nachbarn alles teilen - auch das Internet
    Golem on Edge
    Wo Nachbarn alles teilen - auch das Internet

    Mehr schlecht als recht arbeiten zu können und auch nur dann, wenn die Nachbarn nicht telefonieren - das war keine Dauerlösung. Wie ich endlich Internet in meine Datsche bekommen habe.
    Eine Kolumne von Sebastian Grüner

    1. Keine Glasfaser, keine IT-Kompetenz Schulen bemühen sich vergeblich um Geld aus dem Digitalpakt
    2. Kultusministerien Schulen rufen kaum Geld aus Digitalpakt ab
    3. Change-Management Wie man Mitarbeiter mitnimmt

    IT in Behörden: Modernisierung unerwünscht
    IT in Behörden
    Modernisierung unerwünscht

    In deutschen Amtsstuben kommt die Digitalisierung nur schleppend voran. Das liegt weniger an den IT-Abteilungen als an ihren fachfremden Kollegen.
    Ein Bericht von Andreas Schulte

    1. Digitalisierung Krankschreibung per Videosprechstunde wird möglich
    2. Golem on Edge Homeoffice im Horrorland
    3. Anzeige Die voll digitalisierte Kaserne der Zukunft

      •  /