Mozilla hat zwei Sicherheitslücken in Firefox 37 geschlossen. Davon stuft das Unternehmen eine als kritisch ein. Betroffen ist die Sicherheitsfunktion HTTP Alternative Services (HTTP/2 Alt-Svc). Diese hatte der Anbieter erst in der vergangenen Woche eingeführt. Die Aktualisierung auf Version 37.0.1 deaktiviert sie wieder.
Mit HTTP/2 Alt-Svc sei eine opportunistische Verschlüsselung von HTTP-Ressourcen per Transport Layer Security (TLS) möglich, erklärt Mozilla in einem Blog. Die Verschlüsselung der Daten, die sonst im Klartext übertragen würden, erfolge jedoch ohne Authentifizierung. Den Entwicklern zufolge biete das Verfahren insbesondere bei passiven Abhörmaßnahmen einen zusätzlichen Schutz.
Angreifer können den Fehler in Firefox 37 ausnutzen, um die Überprüfung des SSL-Zertifikats des spezifizierten Servers zu umgehen, wenn Alt-Svc in der HTTP/2-Antwort enthalten ist. Somit lässt sich ein echtes Zertifikat im Rahmen eines Man-in-the-Middle-Angriffs durch ein eigenes ersetzen. Der Sicherheitsforscher Muneaki Nishimura hat die Sicherheitslücke entdeckt.
Das Risiko der zweiten Schwachstelle bewertet Mozilla mit “hoch”. Sie steckt im Lesemodus des Browsers, der bislang nur in Firefox für Android sowie Preview-Versionen von Firefox für Windows, Linux und Mac OS X enthalten ist.
Das Update verbessert außerdem die Stabilität von Firefox. Den Versionshinweisen zufolge kann eine bestimmte Kombination aus Grafik-Hardware und Software von Drittanbietern einen Absturz beim Start von Firefox 37 auslösen.
Bereits in der vergangenen Woche hat Google ein Sicherheitsupdate für Chrome veröffentlicht. Insgesamt schließt es vier Sicherheitslücken. Davon stuft der Konzern eine als kritisch ein. Sie ermöglicht das Ausführen von Schadcode außerhalb der Sandbox des Browsers. Ein nicht näher genannter Sicherheitsforscher kombinierte demnach Lücken in der JavaScript-Engine V8 und den Komponenten Gamepad und IPC.
Für die Details der Schwachstelle zahlte Google ihm eine Belohnung von 29.633,70 Dollar. Chrome 41.0.2272.118 für Windows, Mac OS X und Linux enthält aber auch einen Fix für eine Lücke, die der Forscher JungHoon Lee Ende März während des Hackerwettbewerbs Pwn2Own vorgeführt hatte.
Download:
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
Ransomware-as-a-Service ist ein lukratives Geschäft und in den Händen professionell organisierter Gruppen. Jetzt können Kriminelle…
Bad Bots richten nicht nur wirtschaftlichen Schaden an. Laut dem Bad Bot Report von Imperva…
Studie von OVHcloud verdeutlicht Stellenwert von Datenresidenz und Datensouveränität bei KI-Anwendungen.
Mit KI können Unternehmen der Paketbranche Prozesse optimieren, Kosten einsparen und sich zukunftssicher aufstellen.
Land Niedersachsen schließt datenschutzrechtliche Vereinbarung mit Microsoft zur Nutzung von Teams ab.
Ein Großteil der Inventurdifferenzen im deutschen Einzelhandel wird durch Ladendiebstähle verursacht.