Sicherheitslücke aus Firefox 3.5 in Version 3.5.1 nicht geschlossen

Die am letzten Mittwoch entdeckte Sicherheitslücke in Firefox 3.5 besteht auch in der Version 3.5.1 fort. Das stellte Securityfocus.com nach einem Test mit einem Javascript-Programm fest.

Die Mozilla Foundation hat diesen Sachverhalt inzwischen bestätigt. Sie wies jedoch darauf hin, dass mit der Lücke kein sinnvoller Malware-Code auszuführen sei. Außer einem Absturz von Firefox bestehe keine Gefahr.

Bei dem Fehler handelt es sich um einen Pufferüberlauf-Bug, der es ermöglicht, die Rücksprungadresse auf dem Stack zu überschreiben, indem man einen überlangen Unicode-String in der document.write()-Funktion einsetzt.

Das Einschleusen von Malware über diesen Fehler muss tatsächlich als eher theoretische Möglichkeit angesehen werden. Zwar ist es möglich, bösartigen Code über den Unicode-String einzuschleusen, jedoch ist es durch die dynamische Heap-Verwaltung der Betriebssysteme nahezu ausgeschlossen, die dazu passende Rücksprungadresse auf den Stack zu bringen. Wer seinen Browser mit aktiviertem No-Execute-Bit im Prozessor betreibt, genießt zusätzlichen Schutz.

Mehrere Sicherheitshersteller, darunter Secunia, hatten den Bug als „höchst kritisch“ eingestuft. Die Hersteller von Antiviren-Lösungen bewerten die Möglichkeit des Einschleusens von Malware über Daten, etwa durch manipulierte Strings, Sounds, Bilder oder Videos, vielfach zu hoch, um die eigenen Umsätze anzukurbeln.

Die Mozilla-Foundation will in Kürze ein Update bereitstellen, das diese Lücke schließt.

ZDNet.de Redaktion

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

1 Tag ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

1 Tag ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

2 Tagen ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

2 Tagen ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

2 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

2 Tagen ago