Schnell updaten: Sicherheitslücke in Firefox wird aktiv ausgenutzt
Nur wenige, Tage nachdem Firefox 72 erschienen ist, gibt Mozilla ein wichtiges Sicherheitsupdate heraus. Mit Version 72.0.1 behebt der Browserhersteller eine Zero Day, die bereits aktiv ausgenutzt wird. Auch Firefox ESR und Mobile erhalten mit Version 68.4.1 den Patch.
Die Sicherheitslücke steckt laut Mozilla in der Browserkomponente Ionmonkey, ein Just-in-time-Compiler für Javascript. Bei der Lücke handelt es sich um eine Type Confusion. Dabei initialisiert das Programm einen Speicherbereich mit einem Typ, greift jedoch später auf die Ressource mit einem andern Typ zu, der inkompatibel zu dem ursprünglichen Typ ist. Details zu der Sicherheitslücke nennt Mozilla jedoch nicht. Allerdings schreibt der Browserhersteller(öffnet im neuen Fenster) in der Beschreibung: "Wir wissen von gezielten Angriffen, die diesen Fehler missbrauchen."
Entdeckt wurde die Sicherheitslücke von der Sicherheitsfirma Qihoo360, die erst im November auf dem chinesischen Hackerwettbewerb Tianfucup mit etlichen aufgedeckten Zero Days aufwartete. In einem mittlerweile gelöschten Tweet hatte Qihoo360 laut dem Onlinemagazin ZDnet(öffnet im neuen Fenster) neben der Sicherheitslücke in Firefox auch auf eine Zero Day im Internet Explorer hingewiesen, die ebenfalls von den Angreifern genutzt würde.
Qihoo360 hatte in der Vergangenheit mit den beiden firmeneigenen TLS-Zertifizierungsstellen Wosign und Startcom für Schlagzeilen gesorgt. Mozilla und Google hatten den Zertifizierungsstellen das Vertrauen entzogen und warfen ihnen vor, die Browser-Community in die Irre geführt zu haben, statt aufgedeckte Schwachstellen adäquat zu beseitigen. Zudem hätten die Zertifizierungsstellen versucht, Beschränkungen der Browser bei SHA1-Zertifikaten zu umgehen, indem sie Zertifikate rückdatierten. Zeitweise war es zudem möglich, Zertifikate für Github.com auszustellen , sofern der Antragssteller Kontrolle über eine Subdomain von Github hatte.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.