Mozilla schließt kritische Pwn2Own-Lücke in Firefox

Mozilla hat seinen Browser Firefox auf die Version 52.0.1 aktualisiert. Das Update schließt eine als kritisch eingestufte Sicherheitslücke, die Mitarbeiter von Chaitin Security in der vergangenen Woche am zweiten Tag des Hackerwettbewerbs Pwn2Own 2017 entdeckt hatten. Ein Angreifer kann unter Umständen Schadcode einschleusen und innerhalb der Sandbox des Browsers ausführen.

Einem Security Advisory zufolge löst die Funktion „createImageBitmap()“ unter Umständen einen Integer-Überlauf aus. Da die Funktion in der Sandbox ausgeführt werde, sei eine zweite Schwachstelle erforderlich, um den Computer eines Nutzers zu kompromittieren.

Chaitlin Security hat während des Hackerwettbewerbs Pwn2Own den Mozilla-Browser Firefox geknackt (Bild: Trend Micro).Genau das war jedoch den Forschern von Chaitlin Security während des Wettbewerbs gelungen. Sie kombinierten den Firefox-Bug mit einer zuvor unbekannten Anfälligkeit im Kernel von Windows, um auf einem vollständig gepatchten Notebook mit Windows 10 den Editor mit der von ihnen vorgefertigten Nachricht „No Pwn no Fun“ zu starten. Dafür zahlte ihnen der Veranstalter, die Trend-Micro-Tochter Zero Day Initiative, eine Belohnung von 30.000 Dollar.

Mozilla hat jedoch nicht die eigentliche Anfälligkeit in seinem Browser beseitigt. Der Fix besteht darin, dass die experimentellen Erweiterungen des „createImageBitmap“-API deaktiviert wurden.

Firefox 52.0.1 für Windows, Mac OS X und Linux kann ab sofort von der Mozilla-Websites heruntergeladen werden. Nutzer, die den Browser bereits installiert haben, erhalten das Update automatisch.

Ein weiterer Angriff auf den Mozilla-Browser war in der vergangenen Woche während Pwn2Own 2017 gescheitert. Dem deutschen Sicherheitsforscher Moritz Jodeit von Blue Frost Security war es nicht gelungen, seinen Angriff in der vorgeschriebenen Zeit zu beenden. Nach Mozilla müssen nun noch Apple und Microsoft Löcher in ihren Browsern Safari und Edge stopfen.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.