Firefox: Mozilla behebt kritische Sicherheitslücke
In der Sicherheitsfunktion HTTP Alternative Services steckt eine als kritisch eingestufte Schwachstelle. Mozilla hat das mit Firefox 37 eingeführte Feature nun mit der Version 37.0.1 wieder deaktiviert. Auch für Chrome steht seit vergangener Woche ein Sicherheitspatch bereit.
Mozilla hat zwei Sicherheitslücken in Firefox 37 geschlossen. Davon stuft das Unternehmen eine als kritisch ein. Betroffen ist die Sicherheitsfunktion HTTP Alternative Services (HTTP/2 Alt-Svc). Diese hatte der Anbieter erst in der vergangenen Woche eingeführt. Die Aktualisierung auf Version 37.0.1 deaktiviert sie wieder.
Mit HTTP/2 Alt-Svc sei eine opportunistische Verschlüsselung von HTTP-Ressourcen per Transport Layer Security (TLS) möglich, erklärt Mozilla in einem Blog. Die Verschlüsselung der Daten, die sonst im Klartext übertragen würden, erfolge jedoch ohne Authentifizierung. Den Entwicklern zufolge biete das Verfahren insbesondere bei passiven Abhörmaßnahmen einen zusätzlichen Schutz.
Angreifer können den Fehler in Firefox 37 ausnutzen, um die Überprüfung des SSL-Zertifikats des spezifizierten Servers zu umgehen, wenn Alt-Svc in der HTTP/2-Antwort enthalten ist. Somit lässt sich ein echtes Zertifikat im Rahmen eines Man-in-the-Middle-Angriffs durch ein eigenes ersetzen. Der Sicherheitsforscher Muneaki Nishimura hat die Sicherheitslücke entdeckt.
Mehr Stabilität für Firefox
Das Risiko der zweiten Schwachstelle bewertet Mozilla mit “hoch”. Sie steckt im Lesemodus des Browsers, der bislang nur in Firefox für Android sowie Preview-Versionen von Firefox für Windows, Linux und Mac OS X enthalten ist.
Das Update verbessert außerdem die Stabilität von Firefox. Den Versionshinweisen zufolge kann eine bestimmte Kombination aus Grafik-Hardware und Software von Drittanbietern einen Absturz beim Start von Firefox 37 auslösen.
Google schließt Schwachstellen in Chrome
Bereits in der vergangenen Woche hat Google ein Sicherheitsupdate für Chrome veröffentlicht. Insgesamt schließt es vier Sicherheitslücken. Davon stuft der Konzern eine als kritisch ein. Sie ermöglicht das Ausführen von Schadcode außerhalb der Sandbox des Browsers. Ein nicht näher genannter Sicherheitsforscher kombinierte demnach Lücken in der JavaScript-Engine V8 und den Komponenten Gamepad und IPC.
Für die Details der Schwachstelle zahlte Google ihm eine Belohnung von 29.633,70 Dollar. Chrome 41.0.2272.118 für Windows, Mac OS X und Linux enthält aber auch einen Fix für eine Lücke, die der Forscher JungHoon Lee Ende März während des Hackerwettbewerbs Pwn2Own vorgeführt hatte.
Download:
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
