Firefox: Nur sichere Plug-ins verwenden

Wer die Plug-ins regelmäßig aktualisiert, wähnt sich in Sicherheit. Insbesondere beim Java- und Acrobat-Plug-in können jedoch Konfigurationsfehler dazu führen, dass der Browser ein veraltetes Plug-in verwendet. Auf den ersten Blick ist es allerdings ziemlich undurchsichtig, wie Firefox die Plug-ins auf der Festplatte findet. Es gibt einen Ordner „Plugins“ im Firefox-Installationsverzeichnis sowie einen im Benutzerprofil unter „ %AppData%Mozilla “. Die Pfade, in denen Firefox nach Plug-ins sucht, können jedoch über die Registry-Schlüssel „ Hkey_Current_UserSoftwareMozillaPlugins “ und „ Hkey_Local_MachineSoftwareMozillaPlugins “ erweitert werden.

Bei 64-Bit-Systemen kommt „ Hkey_Local_MachineSoftwareWow6432NodeMozillaPlugins “ noch hinzu. Hier kann es zum Beispiel den Schlüssel „ @java.com/JavaPlugin, version= 10.11.2 “ geben. Der Wert „Path“ verweist in der Regel auf die DLL-Datei, die Firefox als Plug-in laden soll. Den Dateinamen ignoriert Firefox allerdings. Das Programm berücksichtigt alle gefundenen Plug-ins im eingetragenen Pfad. Wegen dieser Registry-Einträge lädt übrigens auch ein portabler Firefox die gleichen Plug-ins wie die auf dem Rechner bereits installierte Version. Googles Browser Chrome lädt die Firefox-Plug-ins ebenfalls.

Browser-Erweiterungen zuverlässig löschen

Plug-in-Pfade prüfen: Rufen Sie nun über die Adresszeile about:config auf und bestätigen Sie per Klick auf „Ich werde vorsichtig sein, versprochen!“. Geben Sie hinter „Suchen“ den Wert plugin.expose_full_path ein. Setzen Sie ihn per Doppelklick auf „true“. Rufen Sie anschließend about:plugins auf. Hinter „Datei:“ sehen Sie jetzt bei jedem Plug-in, wo es auf der Festplatte liegt. Sollten hier Verweise zu älteren Versionen auftauchen, deinstallieren Sie die Software. Sollte das nicht möglich sein, löschen Sie die DLL-Datei oder benennen Sie sie um.

Um zu testen, welche Plug-ins über Registry-Einträge gestartet werden, suchen Sie dann über about:config nach plugin.scan.plid.all. Setzen Sie den Wert auf „false“. Dadurch ignoriert Firefox die Registry-Einträge. Rufen Sie jetzt about:plugins auf. Sie werden wahrscheinlich feststellen, dass es immer noch aktive Plug-ins gibt, die außerhalb der Plug-in-Verzeichnisse liegen. Das liegt an Sonderregeln, die es beispielsweise für Adobe Acrobat und Quicktime gibt. Bei diesen prüft Firefox zusätzlich bekannte Verzeichnisse darauf, ob dort noch eine brauchbare Plug-in-DLL liegt. Das Verhalten lässt sich über die about:config-Werte „plugin.scan.Acrobat“ und „plugin.scan.Quicktime“ beeinflussen. Hier erwartet Firefox eine Versionsnummer. Wenn Sie etwa bei „ plugin.scan.Acrobat “ den Wert „11“ eintragen, werden keine älteren Acrobat-Plug-ins als Version 11 geladen. Mit einem hohen Wert wie „100“ deaktivieren Sie Adobe Acrobat voraussichtlich für einige Zeit.

Mozilla schließt 15 Sicherheitslücken in Firefox

Den beschriebenen Test sollten Sie von Zeit zu Zeit durchführen. Es ist nicht auszuschließen, dass bei einer Software-Installation ein veraltetes Plug-in auf der Festplatte landet und über einen der verzweigten Plug-in-Suchpfade in den Browser eingebunden wird. Machen Sie als Nächstes die Änderungen wieder rückgängig, welche Sie über about:config vorgenommen haben. Denn ein aktives plugin.expose_full_path ermöglicht es auch von extern, den Pfad zu den Plug-ins zu ermitteln, was ein Sicherheitsrisiko darstellen kann.

Tipp: Eine schnelle Plug-in-Prüfung lässt sich auch jederzeit über http://browser check.pcwelt.de durchführen. Klicken Sie hier auf „Update-Check starten“. Wird ein veraltetes Plug-in entdeckt, klicken Sie auf „Jetzt aktualisieren“. Sie werden daraufhin zur jeweiligen Download-Seite weitergeleitet.