Mit dem Update auf Version 40.0.3 hat Mozilla zügig auf eine Lücke im Installationsprozess von Add-ons reagiert.
Der Fehler im Installationsprozess wird im zugehörigen Advisory als kritisch eingestuft. Gibt ein Nutzer die URL zu einem Add-on manuell ein, wird, weil es sich um eine Nutzeraktion handelt, das Warnsystem umgangen. Ein Sicherheitsexperte hat nun entdeckt, dass sich dieses System auch von Websites ausnutzen lässt, die spezielle URLs enthalten. Add-ons lassen sich so aus anderen Quellen als der offiziellen installieren, heißt es im Advisory. Eine weitere Lücke steckt im Canvas-Element und kann zu reproduzierbaren Abstürzen führen.
Mozilla behebt zudem einen Segmentierungs-Bug im Zusammenspiel mit Gstreamer und schaltet die just eingeführte asynchrone Plugin-Initialisierung wegen Kompatibilitätsproblemen ab.
