In Firefox und Firefox ESR wurde von Mozilla eine kritische Sicherheitslücke, die ein Teilnehmer des Hackerwettbewerbs Pwn2Own live ausgenutzt hat, geschlossen. Bei der Lücke handelt es sich um einen out-of-bounds-Speicherfehler, über den ein Angreifer Schadcode auf Systeme schieben und ausführen könnte.

Die Schwachstelle findet sich darin, wie die Webbrowser Vorbis-Audiodateien über die Libvorbis-API verarbeiten. In der Bibliothek Libtremor soll der gleiche Fehler klaffen. Diese kommt in der Firefox-App auf Android- und ARM-Plattformen anstatt Libvorbis zum Einsatz. Angreifer könnten ein System aus der Ferne ohne Authentifizierung übernehmen. In der Firefox Version 59.0.1 sind die Lücken geschlossen.

Firefox ESR enthält noch weitere Schwachstellen. Werden diese ausgenutzt, so kann der Browser zum Absturz gebracht oder sogar Schadcode ausgeführt werden. Die Version 52.7.2 ist bereits abgesichert.

(pp, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE