Categories: BrowserWorkspace

Firefox-Bug erlaubt Übernahme des mobilen Browsers per WLAN

Der australische Sicherheitsforscher Chris Moberly, der für GitLab arbeitet, hat eine Sicherheitslücke in Firefox für Android entdeckt. Sie erlaubt es einem Angreifer, die Browsersitzungen von Firefox für Android auf anderen Geräten zu übernehmen, die sich im selben WLAN-Netzwerk befinden. Mozilla bietet inzwischen einen Patch für die Schwachstelle an.

Die Anfälligkeit steckt in der Implementierung des Simple Service Discovery Protocol (SSDP). Es erlaubt Firefox, andere Geräte im selben Netzwerk zu finden, um Inhalte auszutauschen. Wird ein Gerät gefunden, erhält die SSDP-Komponente von Firefox den Speicherort einer XML-Datei, in der die Konfiguration des anderen Geräts hinterlegt ist.

Moberly fand heraus, dass es bei älteren Firefox-Versionen möglich ist, sogenannte Intent-Befehle von Android in der XML-Datei zu verstecken. Zudem kann Firefox dazu gebracht werden, die Intent-Befehle auszuführen, um den Browser beispielsweise anzuweisen, auf einen bestimmten Link zuzugreifen.

Der Bug lässt sich dem Forscher zufolge auch in einem konkreten Szenario ausnutzen. So könnte ein Angreifer in einem WLAN-Netz eines Flughafens oder eines Einkaufszentrums das Netzwerk mit speziell gestalteten SSDP-Paketen fluten. Solche Pakete würden alle Versionen von Firefox für Android in diesem Netzwerk dazu zwingen, einen bestimmte Website zu laden. Auch die Installation von Browsererweiterungen soll möglich sein. Gelingt es einem Hacker, sich Zugang zu einem WLAN-Router eines Netzwerks zu verschaffen, könnte er Mitarbeiter auch dazu bringen, sich auf Phishing-Websites erneut anzumelden.

Seit Anfang vergangener Woche liegt ein von Moberly entwickelter Proof-of-Concept-Exploit vor. Zusammen mit einem Sicherheitsforscher von Eset veröffentlichte er zudem ein Video, das den Angriff zeigt.

Mozilla informierte er bereits im Lauf des Sommers über seine Erkenntnisse. Das Unternehmen stopfte die Sicherheitslücke daraufhin mit Firefox 79 für Android. Nutzer sollten beispielsweise über den Play Store kontrollieren, ob sie bereits die aktuelle Version erhalten haben. Die Desktop-Version des Mozilla-Browsers war nicht betroffen.

ANZEIGE

Kollaborationsplattform Slack: Effizient arbeiten – egal von wo

Vor COVID-19 war Remote-Work für viele Unternehmen fast undenkbar. Heute haben sie erkannt, dass es sehr gut funktionieren kann, wenn die Rahmenbedingungen stimmen. Erfahren Sie in diesem Webinar, wie Sie mit der Kollaborationslösung Slack auf die veränderten Arbeitsbedingungen optimal reagieren können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Alphabet übertrifft die Erwartungen im ersten Quartal

Der Umsatz steigt um 15 Prozent, der Nettogewinn um 57 Prozent. Im nachbörslichen Handel kassiert…

2 Tagen ago

Microsoft steigert Umsatz und Gewinn im dritten Fiskalquartal

Aus 61,9 Milliarden Dollar generiert das Unternehmen einen Nettoprofit von 21,9 Milliarden Dollar. Das größte…

2 Tagen ago

Digitalisierung! Aber wie?

Mehr Digitalisierung wird von den Unternehmen gefordert. Für KMU ist die Umsetzung jedoch nicht trivial,…

2 Tagen ago

Meta meldet Gewinnsprung im ersten Quartal

Der Nettoprofi wächst um 117 Prozent. Auch beim Umsatz erzielt die Facebook-Mutter ein deutliches Plus.…

3 Tagen ago

Maximieren Sie Kundenzufriedenheit mit strategischem, kundenorientiertem Marketing

Vom Standpunkt eines Verbrauchers aus betrachtet, stellt sich die Frage: Wie relevant und persönlich sind…

3 Tagen ago

Chatbot-Dienst checkt Nachrichteninhalte aus WhatsApp-Quellen

Scamio analysiert und bewertet die Gefahren und gibt Anwendern Ratschläge für den Umgang mit einer…

3 Tagen ago