Noch kein Patch für kritisches Firefox-Leck
Mozilla hat eine gefährliche Sicherheitslücke im Firefox 3.6 bestätigt. Ein Angreifer könnte durch das Loch beliebigen Schadcode einschleusen und ausführen. Berichte über den Zero-Day-Exploit waren vor wenigen Tagen aufgetaucht – seitdem haben sich die Entwickler von Mozilla intensiv mit dem Problem beschäftigt.
In den letzten Tagen habe man das Problem gemeinsam mit dessen Entdecker, Evgeny Levorov, näher untersucht und tatsächlich einen sicherheitsrelevanten Fehler ausmachen können, heißt es in einem Blog-Eintrag von Mozilla.
Konkrete Details nennt Mozilla zwar nicht, die Lücke soll sich aber dazu nutzen lassen, einen Rechner aus der Ferne zu übernehmen. Nach einem provozierten Absturz soll sich über die Lücke Schadcode einschleusen lassen. Sicherheitsdienstleister wie Secunia stufen den Fehler als “hochkritisch” ein.
Zwar gibt es nach Angaben von Mozilla bereits einen Patch für die Lücke. Vor der Auslieferung wolle man aber diesen noch testen, um unerwünschte Nebeneffekte zu vermeiden. Für den 30. März ist ein Update auf 3.6.2 geplant, das das Problem beheben soll.
“Wir empfehlen wie immer allen Nutzern, das Update, sobald es erhältlich ist, so schnell wie möglich einzuspielen”, so Mozilla wörtlich. Alternativ könne schon jetzt ein Release Candidate von Firefox 3.6.2 heruntergeladen werden, der den Fix schon enthalte. Tester einer Entwicklerversion von Firefox 3.7 sollten auf die Alpha 3 umsteigen. Der E-Mail-Client Thunderbird und die Browser-Suite Seamonkey seien nicht betroffen, da sie auf einer älteren Version der Firefox-Browser-Engine basierten.
