Mit Version 50.0.2 behebt Mozilla eine kritische Sicherheitslücke für den Browser Firefox. Die Lücke hatte das Tor-Projekt entdeckt, die Firefox ESR für das Tor Browser Bundle verwendet.
Am Dienstag hatte eine User auf der Tor-Mailingliste den Exploit entdeckt und gepostet, er richtete sich offenbar gegen Windows-User, die Firefox verwenden. Aktiv eingesetzt wurde er unter anderem gegen Nutzer des Tor-Browser-Bundles, das auf Firefox 45.5 setzt, eine Version mit Langzeitsupport. Besuchten die User eine bestimmte Seite, wurde ihnen der SVG-Code mit Hilfe von Javascript untergeschoben.
Die Use-after-Free-Lücke steckte im Code für SVG-Animationen. Zwar war die Lücke selbst den Firefox-Machern noch unbekannt, das Angriffsschema war allerdings nicht neu, wie Entwickler Daniel Veditz im Firefox-Blog erklärt. Der Exploit ähnele dem, den das FBI 2016 zum Enttarnen von Tor-User einsetzte, weshalb einige Anwender spekulierten, dass der Exploit womöglich von der Regierung stamme.
Wäre dies der Fall, so Veditz, wäre dies ein schönes Beispiel dafür, wie Government Hacking der Gesellschaft und dem Web schade. Von Firefox gibt es inzwischen eine neue Version 50.0.2 (“firefox –version”) mit einem Fix, der das Problem behebt. In der Regel spielt der Browser dies automatisch ein, andernfalls lässt sich die neue Version auch als Komplettpaket herunterladen.
