Über Browser-Hacking-Geheimnisse
Auf einer der Hacker-Konferenzen wurde auch eine Präsentation präsentiert, die auch den öffentlichen Code enthüllte, der eine schwerwiegende Sicherheitslücke in Firefox ausnutzen könnte.
Auf der Hackerkonferenz ToorCon hielten zwei Referenten einen Vortrag zu verschiedenen Sicherheitslücken in Firefox. Mischa Spiegelmock und Andrew Wbeelsoi erwähnten in ihrem Vortrag auch eine der Schwachstellen im Open-Source-Browser, für die es noch keine Bugfixes gibt. Die Präsentation fand jedoch keinen ernsthaften Anklang aufgrund der Erwähnung dieser Schwachstelle, sondern weil die Referenten auch wichtige Details des Codes verrieten, der benötigt wird, um die Schwachstelle auszunutzen.
Hacker sagen, dass die Sicherheitsanfälligkeit über speziell gestaltete Websites ausgenutzt werden könnte. Der Fehler betrifft die JavaScript-Handhabung von Firefox und stellt ein Risiko für Windows-, Mac OS X- und Linux-kompatible Versionen dar. Laut der Demonstration könnte die Schwachstelle dazu führen, die Kontrolle über die betroffenen Computer zu übernehmen.
Spiegelmock sagte, fast jeder wisse, dass der Internet Explorer nichts sicheres sei. Er erklärte jedoch auch, dass Firefox fast so anfällig ist wie die Software von Microsoft. Laut dem Hacker gibt es derzeit rund dreißig Schwachstellen in Firefox, die noch nicht behoben sind, deren Details sie aber nicht preisgeben wollen.
Nach dem Anschauen der Präsentation räumte Window Snyder, Chief Security Officer von Mozilla, ein, dass die von Hackern präsentierten Schwachstellen tatsächlich ein Risiko darstellen könnten, sodass die Ermittlungen bereits begonnen haben. Der Experte äußerte sich besorgt, denn in der Präsentation seien auch Lösungen vorgestellt worden, die die Browser-Schwachstelle problemlos ausnutzen könnten. Daher sind die Computer vieler Benutzer möglicherweise anfällig für Angriffe, bis die Fehler behoben sind.
Einigen Berichten zufolge bot Mozilla auch eine Geldprämie an, um Firefox-Entwicklern Zugang zu Details anderer Sicherheitslücken zu verschaffen, aber die beiden Hacker nahmen das Angebot nicht an.
