Javascript macht Firefox das Feuer aus

[blindguard]

Nicht nur der Windows Internet-Explorer leistet sich im Bereich Sicherheit einige Schnitzer. Auch der gerade erst veröffentlichte Browser Firefox 1.5 beklagt ein Sicherheitsleck, das bei einem erneuten Start der Software zu einem Absturz führt.

Alle Puffer dicht

Ein simples Java-Script, das in jede Webseite eingebaut werden kann, ist für dieses Problem verantwortlich. Es lässt den Firefox einen übergroßen Eintrag in der Chronik anlegen. Ein nerviges Problem, dem nur durch einen manuell durchgeführten Löschvorgang auf den Pelz gerückt werden kann. Da die Chronik in der "history.dat" gespeichert wird, muss die ausgelagerte Datei erstmal lokalisiert werden.

Lokalisieren und eliminieren

Für nicht versierte Computer-Nutzer ein kniffliges Unterfangen.Damit der Ordner "Anwendungsdaten" unter "C:Dokumente und Einstellungen" überhaupt sichtbar wird, sollte man sich vorrangig alle Dateien und Ordner von Windows anzeigen lassen. Zu finden ist die history.dat dann in dem Mozilla Firefox Profil-Verzeichnis.

Wird die Datei gelöscht funktioniert der Browser wieder einwandfrei. Wer sich diesem Problem nicht aussetzen möchte, kann die Verwendung der Chronik im Firefox unterbinden. Dafür muss der Wert, der festlegt wie lange die Daten in der Chronik aufbewahrt werden sollen, auf null gesetzt werden.

Angeblich ist es auch möglich über die Sicherheitslücke deutlich aggressiveren Code auszuführen. Ob dieses Problem dann auch mit dem Ausschalten der Chronik in den Griff bekommen werden kann, bleibt offen. Von uns wurde die Sicherheitslücke mit Windows XP und dem Service Pack 2 getestet.

Update noch nicht absehbar

Ein entsprechender Patch wird aktuell noch nicht angeboten, wir werden Sie aber entsprechend informieren, sobald ein Update zur Verfügung steht.

http://www.onlinekosten.de/news/artikel/19426

[Azzurri]

Firefox 1.5 Exploit als ungefährlich eingestuft

Gestern war ein Exploit für Mozilla Firefox 1.5 veröffentlicht worden, durch den der Browser zum Absturz gebracht und danach nicht mehr gestartet werden kann. Die Entwickler haben das Problem nun als ungefährlich eingestuft und für Januar einen Patch angekündigt.

Sie betrachten den Bug eher als einen nervigen Fehler und weniger als ernstzunehmendes Sicherheitsproblem. Der Exploit funktioniert mit Firefox 1.5 unter Windows XP SP2 und nutzt einen Fehler beim Umgang mit den Informationen, die im Browser-Verlauf gespeichert werden.

Ein Angreifer kann über eine manipulierte Webseite einen zu langen Eintrag in der Datei history.dat machen und so beim nächsten Start des Browsers einen Absturz verursachen. Durch einige Änderungen könnte angeblich auch Code ausgeführt werden, der Mozilla Foundation ist es aber in ersten Tests nicht gelungen, dies zu reproduzieren.

Das Problem kann umgangen werden, indem der Anwender die geänderte Verlaufsdatei löscht, oder den Browser so konfiguriert, dass dieser beim Beenden selbst die Daten löscht. Auch über das Einfügen der folgenden Zeile in die Datei "prefs.js" lässt sich den Absturz zu verhindern:

user_pref(\"capability.policy.default.HTMLDocument.title.set\",\"noAccess\");

Quelle: http://winfuture.de/news,23335.html