Mozilla hat kürzlich in zahlreichen Advisories auf korrigierte Sicherheitslücken in Firefox, Seamonkey und Thunderbird hingewiesen.
Hier hat eine Reihe von Programmierfehlern zur Folge, dass ein entfernter Angreifer Befehle mit den Berechtigungen des Anwenders ausführen kann. Zudem ist er in der Lage, Cross-Site-Injection- und Spoofing-Attacken durchzuführen. Spoofing wird durch eine Schwachstelle im Umgang mit “select”-Tags ermöglicht. Geschickt präparierte HTML-Seiten verursachen verschiedene Speicherzugriffsfehler (Overflow), welche das Ausführen von Befehlen erlauben.
Betroffen hiervon sind Firefox älter als 16.0, Seamonkey älter als 2.13 und Thunderbird älter als ESR 10.0.8, 16.0.
Weitere Programmierfehler in den Funktionen “FT2FontEntry::CreateFontEntry()” und “mozilla::net::FailDelayManager::Lookup()” haben ebenfalls zur Folge, dass ein entfernter Angreifer Befehle mit den Rechten des Anwenders ausführen kann. Auch hier ist eine Attacke mit Hilfe einer speziell konstruierten Webseite möglich.
Betroffen davon sind Firefox älter als 16.0.1, Seamonkey älter als 2.13.1 und Thunderbird älter als 16.0.1.
Zwei weitere Schwachstellen in Mozilla Firefox führen ein weiteres mal dazu, dass ein entfernter Angreifer Befehle mit den Rechten des Anwenders ausführen kann oder kürzlich besuchte URLs auslesen kann.
Zur zweiten Schwachstelle wurde ein Proof-Of-Concept-Exploit veröffentlicht:
function poc() {
var win = window.open('https://twitter.com/lists/', 'newWin', 'width=200,height=200');
setTimeout(function(){
alert('Hello '+/^https:\/\/twitter.com\/([^/]+)/.exec(win.location)[1]) }, 5000);
}
Diese Javascript-Funktion spuckt Twitter-Benutzernamen aus.
Betroffen sind Mozilla-Firefox-Versionen vor 16.0.1.
