Thu, 19 Jul 2007

Internet Explorer - Firefox exploit: solved

Am 11. Juli wurde auf mozillazine.org über eine Sicherheitslücke berichtet, die bei Windows-Usern den Internet Explorer benutzt, um Schadcode über den Mozilla Firefox auszuführen.

Thor Larholm hatte in seinem Blog berichtet, dass der Internet Explorer beim Besuch einer Website, die bspw. in einem iFrame eine firefoxurl://url enthält, ohne irgendeinen Hinweis Firefox öffnet, um diese Url aufzurufen. Weder der Internet Explorer, noch Firefox überprüfen dabei den Inhalt des auszuführenden Codes - es kann also auch schädlicher JavaScript-Code eingeschleust werden.

Eine Woche nach Bekanntwerden dieser Sicherheitslücke wurde nun eine neue Firefox-Version veröffentlicht, die das Problem behebt. Larholm weist allerdings darauf hin, dass das Problem so nur im Browser aus der Mozilla-Familie behoben sei, nicht aber in anderer Software, die weiterhin gefährdet ist.

Diskutiert wurde darüber, wer denn nun die Schuld an diesem Exploit trage. Larholm beschuldigte jedenfalls Microsoft, da der Internet Explorer hier einfach irgendwelche Programme ausgeführe. Er beschreibt, dass es hier anscheinend auch noch keine großen Bemühungen in Redmond gab, die Lücke zu schließen:

However, I can still automatically launch a wide range of external applications from Internet Explorer and provide them with arbitrary command line arguments. AcroRd32.exe (Adobe Acrobat PDF Reader), aim.exe (AOL Instant Messenger), Outlook.exe, msimn.exe (Outlook Express), netmeeting.exe, HelpCtr.exe (Windows Help Center), mirc.exe, Skype.exe, wab.exe (Windows Address Book) and wmplayer.exe (Windows Media Player) - just to name a few :D
[...]

That reminds me, outlook.exe is an interesting application to pick apart... ;)

Bei mozillazine.org freuen sich die Firefox-Liebhaber jedenfalls schon, dass die Mozilla-Entwickler so rasch reagiert haben, und Microsoft nun doch ein wenig lächerlich aussehen lassen - ganz egal, wer die »Schuld« an dem Problem denn nun trägt.


posted at: 17:01 | path: /2007 | permanent link to this entry | Tags: