Die am letzten Mittwoch entdeckte Sicherheitslücke in Firefox 3.5 besteht auch in der Version 3.5.1 fort. Das stellte Securityfocus.com nach einem Test mit einem Javascript-Programm fest.
Die Mozilla Foundation hat diesen Sachverhalt inzwischen bestätigt. Sie wies jedoch darauf hin, dass mit der Lücke kein sinnvoller Malware-Code auszuführen sei. Außer einem Absturz von Firefox bestehe keine Gefahr.
Bei dem Fehler handelt es sich um einen Pufferüberlauf-Bug, der es ermöglicht, die Rücksprungadresse auf dem Stack zu überschreiben, indem man einen überlangen Unicode-String in der document.write()-Funktion einsetzt.
Das Einschleusen von Malware über diesen Fehler muss tatsächlich als eher theoretische Möglichkeit angesehen werden. Zwar ist es möglich, bösartigen Code über den Unicode-String einzuschleusen, jedoch ist es durch die dynamische Heap-Verwaltung der Betriebssysteme nahezu ausgeschlossen, die dazu passende Rücksprungadresse auf den Stack zu bringen. Wer seinen Browser mit aktiviertem No-Execute-Bit im Prozessor betreibt, genießt zusätzlichen Schutz.
Mehrere Sicherheitshersteller, darunter Secunia, hatten den Bug als "höchst kritisch" eingestuft. Die Hersteller von Antiviren-Lösungen bewerten die Möglichkeit des Einschleusens von Malware über Daten, etwa durch manipulierte Strings, Sounds, Bilder oder Videos, vielfach zu hoch, um die eigenen Umsätze anzukurbeln.
Die Mozilla-Foundation will in Kürze ein Update bereitstellen, das diese Lücke schließt.
