Mozilla bestätigt kritische Zero-Day-Lücke in Firefox 3.6

Mozilla hat Ende vergangener Woche eine vor rund einem Monat entdeckte kritische Zero-Day-Lücke in Firefox 3.6 bestätigt. Ein Angreifer kann die Schwachstelle möglicherweise ausnutzen, um beliebigen Schadcode einzuschleusen und auszuführen. Am 30. März will das Unternehmen ein Update auf Firefox 3.6.2 bereitstellen, das die Codeanfälligkeit behebt.

„Wir empfehlen wie immer allen Nutzern, das Update, sobald es erhältlich ist, so schnell wie möglich einzuspielen“, schreibt das Unternehmen im Mozilla Security Blog. Alternativ könne schon jetzt ein Release Candidate von Firefox 3.6.2 heruntergeladen werden, der den Fix schon enthalte. Tester einer Entwicklerversion von Firefox 3.7 sollten auf die Alpha 3 umsteigen.

Nach Herstellerangaben besteht der vom russischen Sicherheitsforscher Evgeny Legerov gemeldete Fehler nur in Firefox 3.6. Der E-Mail-Client Thunderbird und die Browser-Suite Seamonkey seien nicht betroffen, da sie auf einer älteren Version der Firefox-Browser-Engine basierten.

Möglicherweise werden Browseranbieter im Lauf der Woche weitere Schwachstellen in ihren Produkten einräumen müssen. Am Mittwoch beginnt der von Tipping Point veranstaltete Hacker-Wettbewerb „Pwn2Own„. Das Unternehmen hat 40.000 Dollar Preisgeld für unentdeckte Schwachstellen in Browsern ausgelobt. Aaron Portnoy, leitender Sicherheitsforscher bei Tipping Point, erwartet, dass schon am ersten Tag eine Lücke in Internet Explorer 8 unter Windows 7 vorgeführt wird. Apples Safari folge am zweiten der drei Veranstaltungstage. Der Google-Browser Chrome werde aufgrund der von ihm verwendeten Sandbox wahrscheinlich allen Angriffen standhalten.