Erster Zero-Day-Exploit für Firefox 3.5

Ein auf dem Exploit-Portal Milw0rm erschienener Exploit für den Firefox 3.5 soll eine Sicherheitslücke demonstrieren, bei der durch eingeschleusten Code der Taschenrechner unter Windows startet. Zwar stürzte in einem ersten Test der heise-Security-Redaktion Firefox unter Vista nur ab, die Sicherheitsdienstleister Secunia und VUPEN bestätigten aber auf ihren Seiten, dass Angreifer mittels präparierter Webseiten einen PC infizieren können. Ursache des Problems ist ein Buffer Overflow bei der Verarbeitung präparierter Font-Tags.

Die Mozilla Foundation ist über das Problem informiert, die Anwort auf eine Anfrage von heise Security steht indes noch aus. Ein Update gibt es nicht. Bislang gibt es keine Meldungen, dass erste Seiten im Internet die Lücke aktiv für Infektionen von Windows-PCs ausnutzen würden. Da der Exploit zur Verteilung des Codes im Speicher des PC Heap Spraying mit JavaScript benutzt, kann man als Notbehelf JavaScript deaktivieren. Unter Windows 7 RC1 bot nach einem kurzen Stillstand des Browsers ein Dialog den Abbruch des Skripts an.

Siehe dazu auch:

• Mozilla Firefox Memory Corruption Vulnerability, Bericht von Secunia
• Mozilla Firefox Elements Handling Memory Corruption Vulnerability, Bericht von VUPEN

(Daniel Bachfeld) / (dab)