Kritische Lücke in Firefox 1.0.3

Ein Exploit des French Security Incident Response Team besagt, dass in Firefox 1.0.3 eine Lücke existiert, wodurch Internetseiten Code im Chrome-Kontext auf dem Computer ausführen können. Die Ursache ist womöglich ein Fehler bei der Verarbeitung der Firefox-Extensions durch bestimmte JavaScripte. Chrome-URLs, die den Zugriff auf beliebige lokale Resourcen haben, können aus Websites heraus normalerweise nicht aufgerufen werden. Doch ältere Sicherheitslücken von Firefox zeigen, dass diese Restriktionen leicht umgangen werden können.

Ein vor kurzem aufgetauchter Exploit schreibt eine Batch-Datei auf das Laufwerk C. Diese wird gestartet, sobald man an eine beliebige Stelle des Firefox-Fensters klickt. Die Demo öffnet nur eine Eingabeaufforderung, ein echter Schadcode aber hätte auf diese Weise eine Backdoor oder einen Trojaner installieren können. Firefox 1.0.2 ist angeblich nicht betroffen.

Leider wird zurzeit noch kein Patch angeboten, die Entwickler von Firefox raten aber, unter Extras/Einstellungen/Web-Features den Punkt "Websites das Installieren von Software erlauben" zu deaktivieren. Außerdem wird empfohlen, JavaScript abzuschalten.

Exploit: www.frsirt.com
Quelle: www.heise.de

Vielen Dank an die zahlreichen News-Einsendungen!