Sicherheitslücke in Firefox 2.0.0.4

Secunia berichtet von einer kritischen Sicherheitslücke in der aktuellen Firefox-Version. Damit ist es Angreifern möglich, beliebige Javascript-Programme mit vollem Zugriff auf lokale Dateien und Programme auszuführen.

Die Lücke lässt sich nur unter Windows mit dem Internet Explorer ausnutzen. Gefährdet sind also vor allem jene User, die Firefox zwar installiert haben, aber mit IE surfen. Firefox registriert einen URL-Handler für "firefoxurl://", und damit lassen sich beliebige Kommandozeilenoptionen an Firefox übergeben - u.a. auch die "-chrome"-Option, mit der Javascript-Programme volle Systemzugriffsrechte bekommen, wie normalerweise das Browser-GUI selbst.

Laut heise.de löschen folgende Befehle in der Eingabeaufforderung die betroffenen URL-Handler und schließen damit die Lücke:

Code:

reg delete HKCR\FirefoxHTML /f
reg delete HKCR\FirefoxURL /f 

» Beitrag diskutieren (19 Kommentare)