Firefox Patches Zero-Day, Hacking Contest Bugs

Nur Tage Nachdem ein Hacker Code veröffentlicht hat, der den Firefox-Browser angreifen könnte, haben Mozilla-Entwickler eine Lösung.

Sie haben am Freitag Nachmittag eine aktualisierte 3.0.8-Version ihres Flaggschiff-Browsers veröffentlicht, nur zwei Tage nach der Veröffentlichung des Codes im Milw0rm Website und früher als der Fix wurde versprochen.

Dieses Update behebt auch einen Fehler, der der Forschungsfirma TippingPoint letzte Woche von einem Hacker gemeldet wurde, der damit den Pwn2Own-Wettbewerb der Firma bei der Sicherheitskonferenz CanSecWest gewann. Es war einer von dreien, die von einem deutschen Hacker verwendet wurden, der nur seinen Vornamen Nils gab, um 15.000 US-Dollar in bar und einen Laptop als Preis zu beanspruchen.

[Weiterführende Literatur: So entfernen Sie Malware von Ihrem Windows-PC]

Mozilla-Entwickler hatten das Release als "high priority fedrill safety update" bezeichnet, dank des Angriffs-Codes, der als "Zero Day" Exploit bezeichnet wird. Die schnelle Arbeit zahlte sich aus, da sie erwarteten, dass es bis Anfang nächster Woche dauern würde, um die Tests abzuschließen.

Mozilla sagt, dass beide Bugs "kritisch" sind.

Nils 'Fehler nutzte einen Fehler in einer Firefox-Routine namens _moveToEdgeShift. Er verwendete es, um den Browser unter Mac OS X zu hacken, aber es könnte auch andere Plattformen betreffen.

Der andere Fehler, der mit der Art und Weise zu tun hat, wie der Browser XSL-Stylesheets (Extensible Stylesheet Language) verarbeitet, wirkt sich auf Firefox aus alle Betriebssysteme und betrifft auch die Seamonkey-Internet-Anwendung.

Diese beiden Bugs könnten ausgelöst werden, indem ein Opfer dazu gebracht wird, eine in böswilliger Absicht codierte Webseite anzusehen, was es einem Angreifer erlauben würde, nicht autorisierte Software auf dem System eines Opfers zu installieren. Diese Art von webbasierter Malware, Drive-by-Download genannt, hat in den letzten Jahren immer mehr an Popularität gewonnen.

Das nächste Update von Firefox 3.0.9 soll am 21. April veröffentlicht werden.