Firefox ESR, Thunderbird oder Tor Browser könnten von Angreifern unter anderem zur Ausführung von Schadcode missbraucht werden. Nutzern wird die möglichst baldige Installation der bereits veröffentlichen, abgesicherten Versionen empfohlen.

Die Entwickler sollen Warnmeldungen zu Firefox ESR 91.8 und Thunderbird 91.8 zufolge mehrere mit dem Bedrohungsgrad "hoch" eingestufte Sicherheitslücken (CVE-2022-28289, CVE-2022-28281, CVE-2022-1097) geschlossen haben. Angreifern sei es demnach möglich, Speicherfehler zu provozieren, um etwa die Software zum Absturz zu bringen. In vielen Fällen sei Angreifern jedoch auch das Einschleusen und Ausführen von Schadcode auf diesem Weg möglich. Eine unerwartete Anzahl von WebAuthN-Erweiterungen in einem Register-Befehl soll dies in diesem Fall ermöglichen.

Ebenfalls über die gleichen Lücken angreifbar sei Thunderbird. Zusätzlich habe es dort jedoch auch eine OpenPGP-Schwachstelle (CVE-2022-1197 "moderat") gegeben. Der Mailclient habe über die Lücke einen eigentlich widerrufenen Schlüssel behalten können. Schließlich soll der anonymisierende Tor Browser die Sicherheitsupdates ebenfalls erhalten, da er auf Firefox ESR basiert.

(jb, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE