Nach Angriffen: Mozilla schließt Zero-Day-Lücke in Firefox

Mozilla hat nur einen Tag nach der Veröffentlichung von Firefox 72 ein weiteres Update für seinen Browser veröffentlicht, das eine kritische Zero-Day-Lücke schließt. Dem Security Advisory 2020-03 zufolge wird die Anfälligkeit bereits für zielgerichtete Angriffe ausgenutzt.

Die eigentliche Schwachstelle steckt im JavaScript JIT Compiler IonMonkey, der wiederum ein Bestandteil der JavaScript-Engine SpiderMonkey ist. Laut Mozilla handelt es sich um einen Type-Confusion-Bug. Er führt dazu, dass sich die Typzuordnung von Speichereingaben manipulieren lässt, was unabsehbare Folgen für die Datenverarbeitung haben kann.

Entdeckt wurde der Fehler vom chinesischen Sicherheitsanbieter Qihoo 360. Wie das Sicherheitsleck in der Praxis ausgenutzt wurde, ist bisher nicht bekannt. Möglicherweise werden diese Details zurückgehalten, weil auch andere Anwendungen betroffen sind.

Ein einem inzwischen gelöschten Tweet sprach Qihoo 360 nämlich von Angriffen mit Zero-Day-Lücken auf Firefox und Internet Explorer. Eine Sprecherin des Unternehmens wollte sich auf Nachfrage von ZDNet.com nicht dazu äußern. Von Microsoft liegt indes noch kein außerplanmäßiges Update für Internet Explorer vor.

Nutzer des Mozilla-Browsers sollten möglichst zeitnah auf die Version 72.0.1 umsteigen. Das Extended Support Release wurde zudem auf die Version 68.4.1 aktualisiert. Das Update verteilt Mozilla automatisch an seine Nutzer. Unter Umständen muss die Installation noch mit einem Neustart des Browsers abgeschlossen werden.

Im Juni hatte Mozilla auf zwei Zero-Day-Lücken in Firefox reagieren müssen. Sie wurden für zielgerichtete Angriffe auf Mitarbeiter von Coinbase benutzt.