Abo
  • Services:

Security: Firefox-Schwachstelle erlaubt Auslesen lokaler Daten

Über einen Fehler im PDF-Viewer von Firefox können Unbefugte lokale Dateien auslesen. Die Schwachstelle ist inzwischen behoben, Updates sollten bald verfügbar sein. Der Fehler wurde aber bereits ausgenutzt.

Artikel veröffentlicht am ,
Mozilla warnt vor einer Sicherheitslücke im PDF-Viewer des aktuellen Firefox-Browsers.
Mozilla warnt vor einer Sicherheitslücke im PDF-Viewer des aktuellen Firefox-Browsers. (Bild: Mozilla)

In aktuellen Versionen des Firefox-Browsers mit integriertem PDF-Viewer ist ein Fehler entdeckt worden, der bereits von Unbekannten ausgenutzt wurde. Über die Schwachstelle lassen sich lokale Dateien auslesen und auf einen externen Server hochladen. Mozilla hat den Fehler bereits behoben. Anwendern wird dringend geraten, Updates einzuspielen, denn der Fehler wurde bereits aktiv ausgenutzt.

Stellenmarkt
  1. Fachhochschule Südwestfalen, Hagen bei Dortmund
  2. BIM Berliner Immobilienmanagement GmbH, Berlin

Unbekannte haben ein Exploit der Schwachstelle über eine Anzeige auf einer russischen Webseite verbreitet. Der Schadcode liest unter Windows etwa Konfigurationsdateien für Subversion, s3browser sowie Filezilla und andere FTP-Clients aus. Unter Linux versuche die Malware, die Passwortdatei /etc/passwd, Benutzereinstellungen für SSH sowie Verlaufsdaten für die Bash und die Datenbanken MySQL sowie PostgreSQL auszulesen, berichtet Mozilla-Sicherheitsexperte Daniel Veditz in einem Blogeintrag. Dieser spezielle Exploit lasse zwar Mac-Nutzer außen vor, diese Firefox-Version sei aber ebenfalls für den Angriff anfällig. Veditz rät Nutzern, die Passwörter und Schlüssel auszutauschen. Der Exploit hinterlasse keinerlei Spuren auf dem angegriffenen Rechner.

Updates bereits verfügbar

Der Fehler wurde in der Umsetzung der sogenannten Same Origin Policy der Javascript-Implementierung des Browsers entdeckt. Normalerweise sorgt diese Sicherheitsbarriere dafür, dass nur Javascript-Code ausgeführt werden darf, dessen Herkunft validiert wurde. Im PDF-Viewer war diese Herkunftsprüfung offenbar nicht korrekt umgesetzt. So konnten Angreifer zwar nicht beliebigen Javascript-Code, wohl aber Schadcode im Kontext lokaler Dateien ausführen und so aus der Sandbox ausbrechen.

Wer die Desktopversion von Firefox verwendet, sollte auf Version 39.0.3 beziehungsweise ESR 38.1.1 aktualisieren. Das Update wird seit heute Vormittag auch automatisch verteilt. Die Android-Version von Firefox enthält keinen integrierten PDF-Viewer und ist deshalb von der Schwachstelle nicht betroffen. Möglicherweise seien Nutzer von Adblockern ebenfalls vor dem Exploit geschützt, schreibt Veditz. Welche Adblocker-Software und welche entsprechenden Filter gesetzt werden müssten, sagt Veditz aber nicht.



Anzeige
Spiele-Angebote
  1. (-81%) 5,75€
  2. 9,95€
  3. 45,99€ Release 04.12.
  4. (-70%) 8,99€

Lala Satalin... 08. Aug 2015

+1000

JouMxyzptlk 08. Aug 2015

Oh bitte, was ist denn das für ein klugscheißen? Realität: Die Kunden machen die...

Anonymer Nutzer 08. Aug 2015

Ist eigentlich nur vom PDF-Viewer abhängig. Hat dein "TorBrowser" einen PDF-Viewer,dann...


Folgen Sie uns
       


Landwirtschafts-Simulator C64 - Fazit

Der Landwirtschaftssimulator kommt auf den C64: Giants Software legt der Collector's Edition des Landwirtschafts-Simulators 19 eine Version für den Heimcomputer von Commodore bei. Wir haben das gar nicht mal schlechte Spiel auf originaler Hardware gespielt.

Landwirtschafts-Simulator C64 - Fazit Video aufrufen
Resident Evil 2 angespielt: Neuer Horror mit altbekannten Helden
Resident Evil 2 angespielt
Neuer Horror mit altbekannten Helden

Eigentlich ein Remake - tatsächlich aber fühlt sich Resident Evil 2 an wie ein neues Spiel: Golem.de hat mit Leon und Claire gegen Zombies und andere Schrecken von Raccoon City gekämpft.
Von Peter Steinlechner

  1. Resident Evil Monster und Mafia werden neu aufgelegt

Requiem zur Cebit: Es war einmal die beste Messe
Requiem zur Cebit
Es war einmal die beste Messe

Nach 33 Jahren ist Schluss mit der Cebit und das ist mehr als schade. Wir waren dabei, als sie noch nicht nur die größte, sondern auch die beste Messe der Welt war - und haben dann erlebt, wie Trends verschlafen wurden. Ein Nachruf.
Von Nico Ernst

  1. IT-Messe Die Cebit wird eingestellt

Machine Learning: Wie Technik jede Stimme stehlen kann
Machine Learning
Wie Technik jede Stimme stehlen kann

Ein Unternehmen aus Südkorea arbeitet daran, Stimmen reproduzierbar und neu generierbar zu machen. Was für viele Branchen enorme Kosteneinsparungen bedeutet, könnte auch eine neue Dimension von Fake News werden.
Ein Bericht von Felix Lill

  1. AWS Amazon bietet seine Machine-Learning-Tutorials kostenlos an
  2. Random Forest, k-Means, Genetik Machine Learning anhand von drei Algorithmen erklärt
  3. Machine Learning Amazon verwirft sexistisches KI-Tool für Bewerber

    •  /