Mozilla schützt Firefox vor Code-Injection-Angriffen

Die Entwickler entfernen unter anderem gefährliche Teile der Codebasis. Dazu gehört die eval()-Funktion, die Mozilla auch für Websites als Risiko einstuft. Eine neue Sicherheitsrichtlinie beschränkt außerdem den Einsatz von Inline-JavaScript-Code.

Mozilla hat verschiedene Maßnahmen ergriffen, um seinen Browser Firefox besser vor sogenannten Code-Injection-Angriffen zu schützen. Dafür wurden unter anderem „möglicherweise gefährliche“ Bestandteile der Codebasis des Browsers entfernt. Als Beispiele nennen die Entwickler Inline-Skripte und bestimmte Funktionen wie „eval()“.

Firefox (Bild: Mozilla)Der Verzicht auf Inline-Skripte soll vor allem das „About“-Protokoll des Browsers sicherer machen. Es ist die Grundlage der „about:pages“-Funktion. Diese Seiten erlauben es Nutzern, Netzwerkinformationen anzuzeigen, die Konfiguration des Browsers zu prüfen oder installierte Plug-ins aufzulisten.

Mozilla befürchtete, Angreifer könnten vor allem die „about:config“-Seite für Code-Injection-Angriffe nutzen. Sie macht eine Programmierschnittstelle zugänglich, die auf Browsereinstellungen Zugriff hat, mit denen sich Firefox an die Bedürfnisse eines Nutzers anpassen lässt.

Geschrieben sind die About-Seiten in HTML und JavaScript. Sie basieren also auf dem Sicherheitsmodell von Websites, die ebenfalls anfällig für Code-Injection-Angriffe sind. Theoretisch wären unbefugte also in der Lage, einer About-Seite Code unterzuschieben, um die Browsereinstellungen zu ändern.

Dies wird laut Christoph Kerschbaumer, Content Security Lead bei Mozilla, nun dadurch verhindert, dass alle Inline Event Handler neu geschrieben wurden. Außerdem wurden jeglicher Inline-JavaScript-Code in gepackte Dateien verschoben, und zwar für alle 45 About-Seiten. Darüber hinaus soll nun eine strenge Inhaltssicherheitsrichtlinie sicherstellen, dass eingeschleuster JavaScript-Code nicht ausgeführt wird.

Sie beschränkt die Ausführung auf Code, der aus den gepackten Dateien geladen wird. „Keine Inline-Skript in einer der About-Seiten zu erlauben, begrenzt die Angriffsfläche für die Ausführung von beliebigem Code und bietet somit eine starke erste Verteidigungslinie gegen Code-Injection-Angriffe“, erklärte Kerschbaumer.

Die eval()-Funktion, die komplett entfernt wurde, beschreibt Kerschbaumer als „mächtiges und zugleich gefährliches Werkzeug“. Es biete eine „erhebliche Angriffsfläche für Code-Injection-Attacken“. Von der Nutzung der Funktion rate Mozilla, auch für Websites, generell ab.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Themenseiten: Browser, Firefox, Mozilla, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Mozilla schützt Firefox vor Code-Injection-Angriffen

Kommentar hinzufügen

Kommentare sind bei diesem Artikel deaktiviert.