News Browser: Schwere Sicherheitslücke in Firefox 39 und 38.1 ESR

[c2ash]

Bin mittlerweile auf Chrome umgestiegen, da mir FF immer langsamer vorkommt und ich unter Chrome uMatrix nutzen kann, was eine Alternative zu NoScript darstellt. FF wurde mMn von Mozilla zu schlecht gepflegt. Und seit 38.x hatte ich ein Problem mit Videos, die nach wenigen Minuten immer asynchroner wurden zwischen Audio und Video. Der Ton eilte mit fortschreitender Zeit der Videospur immer weiter voraus.

 

[Nastya]

Bin mittlerweile auf Chrome umgestiegen, da mir FF immer langsamer vorkommt und ich unter Chrome uMatrix nutzen kann, was eine Alternative zu NoScript darstellt. [...]

uMatrix gibt's mittlerweile auch fuer Firefox.

 

[wolli_d]

Hab mich schon gewundert, wofür das Update gleich heute morgen gedacht ist.

 

[frank99]

unabhängig von der Sicherheit finde ich die Integration vom pdf reader in den browser ohnehin nicht gelungen. Druckt man nämlich von dort direkt, zerschießt es einem häufig den Ausdruck, weshalb ich das PDF dann immer noch einmal separat im Adobe Reader starte, um es unbeanstandet auszudrucken.

@frank> und welchen Browser nutzt Du?

Da ich primär Linux nutze, ist es bei mir Okular.
Unter Windows dann Sumatra.

 

[cbtestarossa]

müsste eigentlich

pdfjs.disabled TRUE

sein um das Geraffel komplett zu deaktivieren oder?

 

[c2ash]

@joni16
Es ging mir ja nix um uMatrix für Firefox.
Es ging mir darum, dass es uMatrix für Chrome gibt, aber eben kein NoScript für Chrome.
Bin auf uMatrix auch erst vor wenigen Monaten darauf gestoßen, und das war einer der Gründe warum ich zu Chrome gewechselt habe.

 

[-Nante-]

Damit es was Vernünftiges wird

das sei mal dahingestellt . schaffen die 32bit version nicht mal ordendlich zum laufen zu bekommen . abgesehen von dem verkackten flash player .

 

[DeusoftheWired]

das sei mal dahingestellt . schaffen die 32bit version nicht mal ordendlich zum laufen zu bekommen . abgesehen von dem verkackten flash player .

Wie mir dieses generische Genöle in sämtlichen Meldungen zu Firefox auf CB auf die Nüsse geht! Beschreib dein Problem vernünftig, dann kann man es lösen oder zur Not einen Bug melden.

Flash wird als Plugin von Adobe entwickelt und hat mal gar nichts mit Mozilla zu tun.

Gewöhn dir außerdem mal das Plenken ab und Großschreibung an, ok?

 

[VikingGe]

Ich finde es an sich nicht verkehrt, nen PDF-Reader im Browser zu haben - ist immerhin so ziemlich das meistverwendete Format für Dokumente und gerade unter Windows werden sich jetzt wohl nur noch die Wenigsten diese Adobe Reader-Malware installieren. Browser verkommen aber vor allem dadurch zu Bloatware, dass sie jeden Mist selbst implementieren, statt vorhandene Systembibliotheken zu benutzen.

Für PDF gibt es auch genug Bibliotheken, die allesamt a) deutlich schneller sind als PDF.js (...wahrlich keine Kunst) und b) meiner Erfahrung nach auch deutlich weniger Darstellungsprobleme mit komplexeren Dokumenten haben. Poppler oder das Dingen von Gnome, zum Beispiel. Oder für Videos und Audio ffmpeg/libavcodec.

 

[meckswell]

Das war jetzt taktisch unklug, einen Patch für eine Sicherheitslücke zu bringen, wo in wenigen Tagen eh der 40er rauskommt. Hätten sie den Patch nicht gebracht, hätte niemand von der Lücke Wind bekommen.
Jetzt wird sich wieder die Mäuler zerrissen und der Fox steht wieder mal da, wie ein Deppenbrowser.
Das hätt doch nicht sein müssen. Die Lücke hätte man einfach mit dem 40er schließen sollen und fertig.

 

[PERKELE]

Fuer die Leute, welche einen stabilen Firefox als 64bit Version suchen bzw. haben wollen, denen kann ich nur Waterfox ans Herz legen.

Ich nutze diesen seit Ewigkeiten. Updates werden ebenfalls ausgeliefert. Fuer Leute die kaum Englisch koennen, es gibt entsprechend auch ein Sprachpaket in deutsch.

 

[DeusoftheWired]

Das war jetzt taktisch unklug, einen Patch für eine Sicherheitslücke zu bringen, wo in wenigen Tagen eh der 40er rauskommt.

Das wird in der Führung auch hitzig diskutiert worden sein. Sie haben abgewogen, ob es jetzt wichtiger ist, gut dazustehen oder daß Anwender geschützt sind. Dann wurde sich für die Sicherheit der Anwender entschieden. Denen ist schon klar, daß sich Meldungen zu einer PDF-Lücke und einem außerplanmäßigen Patch schlecht auf den Ruf des Fuchses auswirken, keine Bange. Trotzdem wurde Sicherheit gewählt. Ehrlich gesagt ist mir das auch zehnmal lieber, denn andersrum wäre es nur Augenwischerei.

wieder einer der mir sagen will was ich zu tun und zu lassen hab . sehr seltsam solche typen

Den Rest des Beitrags darfst du auch beantworten. Aber halt, damit könnte man ja das Problem lösen und du nicht mehr meckern.

Rechtschreibung ist eine Respektsbezeugung gegenüber anderen Lesern. Wer nicht einmal die mittlerweile in allen Browser integrierte Autokorrektur über seinen Beitrag laufen lassen kann, verdient es nicht, gelesen zu werden.

Ansonsten: <°))))><

 

[think->write!]

@Vishera

Nutze die 64bit nightly seit 3.7 und hatte seit 5 keine Probleme mehr.
Zu dem wieso soll man 1 Release bevor offiziell 64bit Versionen kommen noch auf Waterfox umsteigen?
Wenn es nach den Kritikern geht, gibt es die 41 Version eh schon praktisch übermorgen.

 

[baizon]

Etwas interessantes bzgl. des Bugs: Firefox exploit found in the wild

 

[Der-Orden-Xar]

Das war jetzt taktisch unklug, einen Patch für eine Sicherheitslücke zu bringen, wo in wenigen Tagen eh der 40er rauskommt. Hätten sie den Patch nicht gebracht, hätte niemand von der Lücke Wind bekommen.
Jetzt wird sich wieder die Mäuler zerrissen und der Fox steht wieder mal da, wie ein Deppenbrowser.
Das hätt doch nicht sein müssen. Die Lücke hätte man einfach mit dem 40er schließen sollen und fertig.

Andersum wird ein Schuh draus:
"Seht her, wir haben zwar in 2 Werktagen eh eine neue Version, aber sorgen uns Um die Sicherheit unserer Nutzer, also gibt es das Update jetzt."
Und zwischen den Zeilen: "... anders als die Konkurrenz schlafen wir bei dem Thema nicht."

wieder einer der mir sagen will was ich zu tun und zu lassen hab . sehr seltsam solche typen

Eigentlich sagt der Duden bereits genug aus, da brauchst du den Kommentar gar nicht beachten, wenn du so ein paar grundlegende Dinge der deutschen Sprache beachtest.

 

[DonSerious]

Wie genau soll das gehen wenn ich eine heruntergeladene PDF von z.B. DHL öffne? Wie können die dadurch zugreifen? Wann genau haben die angefangen zu exploiten? Das letzte Mal als ich eine PDF geöffnet habe ist schon ein paar Tage her da ich diese immer mit Spartan öffne seit Win 10.

Wieso sollten die nicht auch andere Dinge abgreifen?

 

[DeusoftheWired]

Wie genau soll das gehen wenn ich eine heruntergeladene PDF von z.B. DHL öffne? Wie können die dadurch zugreifen? Wann genau haben die angefangen zu exploiten? Das letzte Mal als ich eine PDF geöffnet habe ist schon ein paar Tage her da ich diese immer mit Spartan öffne seit Win 10.

Wieso sollten die nicht auch andere Dinge abgreifen?

Schau dir den Link an, den baizon gepostet hat. Interessanter Teil:

Filezilla configurations files, .purple and Psi+ account information, and site configuration files from eight different popular FTP clients. On Linux the exploit goes after the usual global configuration files like /etc/passwd, and then in all the user directories it can access it looks for .bash_history, .mysql_history, .pgsql_history, .ssh configuration files and keys, configuration files for remina, Filezilla, and Psi+, text files with “pass” and “access” in the names, and any shell scripts.

 

[Cool Master]

müsste eigentlich

pdfjs.disabled TRUE

sein um das Geraffel komplett zu deaktivieren oder?

Im Prinzip ja. Das ist allerdings nur für den User. Ich denke der Bug wird anders auch ausgenutzt werden können.

 

[Wattwanderer]

Bin mittlerweile auf Chrome umgestiegen, da mir FF immer langsamer vorkommt und ich unter Chrome uMatrix nutzen kann, was eine Alternative zu NoScript darstellt. FF wurde mMn von Mozilla zu schlecht gepflegt. Und seit 38.x hatte ich ein Problem mit Videos, die nach wenigen Minuten immer asynchroner wurden zwischen Audio und Video. Der Ton eilte mit fortschreitender Zeit der Videospur immer weiter voraus.

Psssst...

Wenn Firefox ganz weg ist wird Google den Chrome App Store mit eisernen Besen durchkehren.

Schaut euch Chrome auf Android an wo Firefox schwächelt. So etwas wollt ihr nicht freiwillig benutzen.

 

[Almalexia]

Geheiligt werde das tägliche Update, das uns vor dem bösem beschütze. Danke lieber Redakteur für die Info. Amen.