Der Sicherheitsspezialist Tom Ferris hat einen Fehler in Mozilla und dessen Abkömmlingen entdeckt, der zumindest zum Absturz des Browsers, möglicherweise aber auch zum Ausführen von untergeschobenem Code führt. Ein Link, der im Hostnamen aus Zeichen mit dem Hexadezimalwert 0xAD besteht, löst dieses Verhalten aus.
Anzeige
Identitätsmanagement,
also die Verknüpfung von Menschen mit Prozessen und Technologien, ist ein entscheidender Bestandteil des Business Service Managements. Erfahren Sie, wie BMC Software es Unternehmen ermöglicht, die Sicherheit zu erhöhen, die Produktivität zu steigern und die Einhaltung von Vorschriften zu gewährleisten. Laden Sie sich dieses umfassende Whitepaper herunter. Klicken Sie hier
Durch einen solchen Hostnamen im Quelltext liefert der Aufruf von NormalizeIDN beim Rendern der HTML-Seite in der Funktion nsStandardURL::BuildNormalizedSpec als Wert true zurück, befüllt aber die Variable encHost mit einer leeren Zeichenfolge. Dadurch setzen die Mozilla-basierten Browser den Wert von approxLen auf 0 und kopieren anschließend den langen Hostnamen in den zu kleinen Puffer. So lautet zumindest die Erklärung des Fehlers von Ferris in seinem Advisory.
Um die Schwachstelle auszulösen genügt es, eine HTML-Seite mit einem Link auszustatten, der als Host hinter dem Protokollnamen viele dieser Zeichen enthält. Beim Rendern der Seite verabschiedet sich Firefox in den Versionen bis einschließlich 1.0.6 unter Windows ebenso wie unter Linux und in der Deer Park Alpha2 durch einen Fehler in der Speicherverwaltung ins digitale Nirvana. Die soeben frisch erschienene Beta1 des 1.5er-Browsers enthält den Fehler auch.
Einen Workaround liefert Ferris nicht. Möglicherweise hilft es aber, vorerst in die Adresszeile des Browsers about:config einzugeben und die Option network.enableIDN auf false zu setzen. Damit wird die Unterstützung internationaler Domain-Namen abgeschaltet, die Sonderzeichen wie ä, ö und ü in Internetadressen erlaubt. Die von Ferris über diese Lücke informierten Mozilla-Entwickler sind sich noch uneins, wie sie diese am besten angehen. Dennoch sollte bald ein Fix verfügbar sein.
Update:
Die Mozilla-Entwickler haben inzwischen reagiert und empfehlen in einem Advisory ebenfalls die beschriebene Vorgehensweise zum Abschalten der Unterstützung internationaler Domain-Namen. In dem Dokument stellen sie eine Erweiterung für Firefox und die Mozilla-Suite zum Download bereit, das diese Einstellung komfortabel vornimmt.
Siehe dazu auch:
Der amerikanische Sicherheitsspezialist Tom Ferris hat ein potentiell bedrohliches Sicherheitsproblem im Internet-Browser „Mozilla Firefox“ entdeckt. Durch eine speziell formatierte Internet-Adresse kann ein so genannter Pufferüberlauf ausgelöst werden. Dies kann zum Beispiel geschehen, indem auf einer speziell präparierten Internet-Seite ein entsprechender Hyperlink gesetzt wird.

Durch den Pufferüberlauf stürzt der Browser ab. Ferris zeigte sich davon überzeugt, dass es mit dieser Methode auch möglich sei, einen bösartigen Programmcode zur Ausführung zu bringen. Dies wurde allerdings noch nicht demonstriert. Pufferüberlaufe sind ein häufiges Sicherheitsproblem in Software-Produkten.

Der Fehler soll in allen Versionen von „Firefox“ einschließlich der aktuellen Version 1.0.6 und der zweiten Alpha-Version der neuen Version 1.5 enthalten sein. Bis zum Vorliegen einer Fehlerkorrektur empfahlen die „Firefox“-Entwickler, vorläufig die Unterstützung für Domainnamen mit internationalen Sonderzeichen abzuschalten. Sie stellten dazu ein Tool bereit, das diese Einstellung komfortabel vornimmt.