Notfall-Update: Tor-Nutzer über kritische Firefox-Lücke attackiert
Erst vor wenigen Tagen hatte Mozilla einen Patch für eine kritische Zero-Day-Schwachstelle im Webbrowser Firefox veröffentlicht, die bereits vor Bereitstellung des Updates aktiv ausgenutzt wurde. Wie sich nun zeigt, ist das Problem aber nicht auf den Firefox beschränkt. Auch der Tor-Browser, der auf Firefox basiert und Anwendern einen Zugang zum anonymisierten Tor-Netzwerk bietet, hat den Patch mit Version 13.5.7(öffnet im neuen Fenster) erhalten.
Dabei scheinen Tor-Nutzer auch gezielt über die als CVE-2024-9680(öffnet im neuen Fenster) registrierte Sicherheitslücke angegriffen worden zu sein. Das zumindest geht aus einer Release-Mitteilung von Tor Project(öffnet im neuen Fenster) zu Version 6.8.1 der Linux-Distribution Tails hervor, die den Tor-Browser als zentrale Softwarekomponente mitliefert.
Darin heißt es, Mozilla habe Kenntnis darüber, dass die Sicherheitslücke "in freier Wildbahn gegen Nutzer des Tor-Browsers eingesetzt wird" . Zudem warnt Tor Project, anhand der Schwachstelle könne ein Angreifer die Kontrolle über den Browser übernehmen. Dass dadurch eine Deanonymisierung des jeweiligen Tor-Nutzers stattfinde, sei allerdings unwahrscheinlich.
Auch für Thunderbird gibt es einen Patch
Der E-Mail-Client Thunderbird basiert bekanntlich ebenfalls auf Firefox und hat den Patch gegen CVE-2024-9680 erhalten. Dem zugehörigen Security Advisory(öffnet im neuen Fenster) zufolge wird die Lücke durch die Thunderbird-Versionen 131.0.1, 128.3.1 und 115.16 geschlossen. Allerdings stellt Mozilla diesbezüglich auch klar, dass die Schwachstelle nicht durch die Anzeige von E-Mails ausgenutzt werden kann, da das Scripting in diesem Kontext deaktiviert ist.
Von der Meldung bis zum Patch
Obendrein hat Mozilla am Freitag einen Blogbeitrag zu CVE-2024-9680 veröffentlicht(öffnet im neuen Fenster) . Technische Details zur Sicherheitslücke sind darin nach wie vor nicht zu finden. Mozilla beschreibt in dem Beitrag lediglich grob den zeitlichen Ablauf von der Meldung der Lücke durch den Sicherheitssoftwarehersteller ESET bis hin zur Bereitstellung des Patches.
Die Organisation lobt dabei die Leistung des eigenen Teams. Dieses habe ohne Vorankündigung und mit viel Reverse Engineering innerhalb von nur 25 Stunden eine Lösung zur Verfügung stellen können. Ziel von Mozilla sei es zudem, die Zeitspanne zwischen Meldung einer Sicherheitslücke und der Bereitstellung von Patches künftig weiter zu verkürzen.