Thu, 19 Jul 2007
Internet Explorer - Firefox exploit: solved
Am 11. Juli wurde auf mozillazine.org
über eine Sicherheitslücke berichtet, die bei Windows-Usern den Internet Explorer benutzt, um
Schadcode über den Mozilla Firefox auszuführen.
Thor Larholm hatte in seinem Blog berichtet, dass der Internet Explorer
beim Besuch einer Website, die bspw. in einem iFrame eine firefoxurl://url enthält, ohne irgendeinen Hinweis
Firefox öffnet, um diese Url aufzurufen. Weder der Internet Explorer, noch Firefox überprüfen dabei
den Inhalt des auszuführenden Codes - es kann also auch schädlicher JavaScript-Code eingeschleust werden.
Eine Woche nach Bekanntwerden dieser Sicherheitslücke wurde nun eine neue Firefox-Version veröffentlicht, die das Problem behebt. Larholm weist allerdings darauf hin, dass das Problem so nur im Browser aus der Mozilla-Familie behoben sei, nicht aber in anderer Software, die weiterhin gefährdet ist.
Diskutiert wurde darüber, wer denn nun die Schuld an diesem Exploit trage. Larholm beschuldigte jedenfalls Microsoft, da der Internet Explorer hier einfach irgendwelche Programme ausgeführe. Er beschreibt, dass es hier anscheinend auch noch keine großen Bemühungen in Redmond gab, die Lücke zu schließen:
However, I can still automatically launch a wide range of external applications from Internet Explorer and provide them with arbitrary command line arguments. AcroRd32.exe (Adobe Acrobat PDF Reader), aim.exe (AOL Instant Messenger), Outlook.exe, msimn.exe (Outlook Express), netmeeting.exe, HelpCtr.exe (Windows Help Center), mirc.exe, Skype.exe, wab.exe (Windows Address Book) and wmplayer.exe (Windows Media Player) - just to name a few :D
[...]
That reminds me, outlook.exe is an interesting application to pick apart... ;)
Bei mozillazine.org freuen sich die Firefox-Liebhaber jedenfalls schon, dass die Mozilla-Entwickler so rasch reagiert haben, und Microsoft nun doch ein wenig lächerlich aussehen lassen - ganz egal, wer die »Schuld« an dem Problem denn nun trägt.
posted at: 17:01 | path: /2007 | permanent link to this entry
|