2112013

Zwei Sicherheitslücken in Firefox gestopft

28.08.2015 | 09:09 Uhr |

Mozilla verteilt seit gestern Abend eine neue Firefox-Version. In Firefox 40.0.3 haben die Entwickler zwei Schwachstellen beseitigt und einige Bugs ausgemerzt.

Zwei Wochen nach der Bugfix-Version 40.0.2 hat Mozilla Firefox 40.0.3 freigegeben. Darin haben die Entwickler die gerade erst eingeführte asynchrone Plugin-Initialisierung wieder abgeschaltet , da sie noch einige Problem macht. Ferner haben sie ein paar nicht sicherheitsrelevante Bugs beseitigt und zwei Sicherheitslücken geschlossen. Die Schwachstellen sind auch in Firefox ESR 38.2.1 beseitigt.

Eine der Lücken ist als kritisch eingestuft. Bestimmte Manipulation an einem canvas-Element können zum Absturz führen. Firefox greift dabei auf Speicherbereiche zu, die es bereits wieder freigegeben hat ("use-after-free"). Das ließe sich womöglich ausnutzen, um Code einzuschleusen und auszuführen.

Die zweite Schwachstelle ist geeignet, um dem Benutzer unbemerkt oder unter falschen Vorzeichen ein Add-on unterzuschieben. Wenn ein Benutzer eine Erweiterung von Hand installiert, wird die sonst übliche Warnmeldung unterdrückt. Der Sicherheitsforscher Bas Venis hat entdeckt, dass man diesen Effekt auch mit einer data:-URL erreichen kann. Auch dann unterbleibt die Warnung, obwohl der Benutzer das Add-on nicht selbst installiert, sondern eine Web-Seite. Zudem kann eine schnelle Weiterleitung während der Installation den Eindruck hervorrufen, die Installation erfolge von einer ganz anderen Seite aus, der der Benutzer vertraut (etwa addons.mozilla.org).

Unterdessen nähert sich das Seamonkey-Team der offiziellen Freigabe der Seamonkey-Version 2.35, der ersten seit März. Mit der Veröffentlichung noch im August könnte es allerdings eng werden. Das Seamonkey-Team kämpft nach wie vor mit technischen Problemen.

0 Kommentare zu diesem Artikel
2112013