Firefox 39: Mozilla veröffentlicht Notfall-Update
Es schließt eine Sicherheitslücke im PDF-Viewer. Diese erlaubt einem nun entdeckten Exploit, Passwörter und Schlüssel auszuspionieren. Spuren hinterlässt er dabei nicht. Android- und Mac-OS-Nutzer müssen sich keine Sorgen machen, sie sind nicht betroffen.
Mozilla hat Firefox 39.0.3 veröffentlicht und rät seinen Nutzern, das Update schnellstmöglich zu installieren. Kriminelle nutzen eine Sicherheitslücke im integrierten PDF-Viewer aus, um vertrauliche Daten auf dem lokalen System zu durchsuchen. Diese werden anschließend an einen Server übertragen. Die Entwickler haben am 5. August einen Hinweis auf die Schwachstelle erhalten. Auf einer russischen Nachrichtensite wurde der Exploit zuerst entdeckt.
“Die Schwachstelle steckt in der Interaktion des Mechanismus, der für JavaScript Context Separation (die ‘Same Origin Policy’) zuständig ist, mit dem Firefox PDF-Viewer”, erklärt Daniel Veditz, Leiter des Mozilla-Security-Teams. Firefox für Android sei nicht betroffen, da dieser den PDF-Viewer nicht verwende. Der Exploit betreffe auch nicht Mac-Nutzer, allerdings könnten Angreifer ihn so verändern, dass auch sie gefährdet sind.
Die Schwachstelle kann Veditz zufolge nicht ausgenutzt werden, um Code auszuführen. Allerdings lässt sich JavaScript einschleusen. Angreifer können über sie auch bestimmte Ordner durchsuchen und gefundene Dateien an den Urheber des Skripts hochladen. In dem Mozilla bekannten Fall standen die Server in der Ukraine. Dabei wurden Ordner wie /etc/passwd genauso wie das Benutzerverzeichnis .bash_history, .mysql_history, .pgsql_history durchsucht. Auch .ssh-Konfigurationsdateien und –Schlüssel sowie Dateien mit “pass” und “access” im Namen und jegliche Shell-Skripte hatten die Angreifer im Visier.
Firefox 39.0.3 schließt die Lücke. Die Angreifer haben sich offenbar eingehend mit dem Update auseinandergesetzt und gezielt eine damit beseitige Schwachstelle attackiert. “Der Exploit hinterlässt keinerlei Spuren auf der betroffenen Maschine,” warnt Veditz. Nutzern von Firefox auf Windows oder Linux empfiehlt er, Passwörter und Schlüssel zu ändern, die sie in den oben genannten Verzeichnissen abgelegt haben.
[mit Material von Peter Marwan, ZDNet.de]
Download zu diesem Beitrag: