Firefox 2.0.0.5 schließt 8 Sicherheitslücken

Die Mozilla Foundation hat Firefox 2.0.0.5 zum Download freigegeben. In dieser Version wurden acht Sicherheitslücken geschlossen, von denen drei als kritisch eingestuft werden. Darunter befindet sich ein Workaround für eine Sicherheitslücke im Internet Explorer, mit der man unter anderem auch Firefox angreifen konnte.

Eine Anwendung kann dem Betriebssystem mitteilen, das sie für verschiedene Protokolle verantwortlich ist und gestartet werden möchte, sobald eine URL mit einem dieser Protokolle geladen wird. Das erledigen Browser beispielsweise für die Protokolle HTTP und HTTPS, aber auch einige weitere Protokolle werden registriert. Wenn Anwendungen wie unter anderem der Internet Explorer mit einem für ihn fremden Protokoll konfrontiert wird, fragt er beim Betriebssystem nach, welche Anwendung sich für zuständig erklärt hat und startet diese. Jedoch weist Microsofts Browser die Sicherheitslücke auf, dass er die an diese Anwendungen übergebene URL nicht in Anführungszeichen setzt und eine Website somit beliebige Argumente an diese Anwendung senden kann, was sich im Fall von Firefox 2.0.0.4 zum Ausführen von beliebigem Programm-Code ausnutzen ließ.

Von dieser Sicherheitslücke waren also diejenigen Anwender betroffen, die trotz installiertem Firefox-Browser den Internet Explorer verwendet haben. Die Mozilla Foundation weist ausdrücklich darauf hin, dass Firefox 2.0.0.5 natürlich nicht die Sicherheitslücke im Internet Explorer beheben kann und dass beim Surfen mit dem Internet Explorer eventuell weitere Anwendungen neben Firefox auf diese Weise zum Ausführen von beliebigem Programmcode missbraucht werden können.

Die beiden anderen als kritisch eingestuften Sicherheitslücken erfordern hingegen nicht den Internet Explorer als Starthilfe, sondern wie praktisch jede Sicherheitslücke in Browsern lediglich aktiviertes JavaScript und können von einer bösartigen Website direkt zum Ausführen von beliebigem Code verwendet werden. Die Mozilla Foundation hat die vollständige Liste der geschlossenen Sicherheitslücken bereits aktualisiert.

Der offiziellen Ankündigung zu Folge soll der 644 Kilobyte große Patch auf Firefox 2.0.0.5 die Anwender in den kommenden 24 bis 48 Stunden per automatischem Update erreichen. In Firefox 1.5 werden diese acht Sicherheitslücken nicht mehr behoben, so dass spätestens jetzt der Zeitpunkt gekommen ist, auf Version 2.0 umzusteigen.