Die Browser Firefox, Firefox ESR und der anonymisierende Tor-Browser sind angreifbar, und die Angreifer können alle drei Mozilla-Browser im schlimmsten Fall aus der Sandbox ausbrechen lassen oder Schadcode ausführen. Die abgesicherten Versionen stehen jetzt zum Download bereit.
Die dafür genutzte Sandbox-Lücke (CVE-2019-9811) haben Sicherheitsforscher während des Hacker-Wettbewerbs Pwn2Own im März 2019 entdeckt – jetzt gibt es auch das Sicherheitsupdate, um die Lücke zu schließen. Die Sicherheitslücke besteht in Firefox und in der Langzeitversion Firefox ESR. Weil der anonymisierende Tor Browser auch auf Firefox ESR basiert, ist er auch betroffen. Um einen erfolgreichen Ausbruch aus der Sandbox hinzulegen, muss der Angreifer allerdings sein Opfer dazu bringen, ein manipuliertes Sprachpaket zu installieren – das relativiert natürlich die Gefährlichkeit.
In seiner Sicherheitswarnung dazu gibt Mozilla noch Informationen zu weiteren Sicherheitslücken. Darüber könnten Angreifer Speicherfehler auslösen und den Browser so zum Absturz bringen. Das könnte dann als Einfallstor für Schadcode genutzt werden..
Die Sicherheitsupdates für die Firefox-Varianten
Als abgesichert gelten die Versionen Firefox 68 und Firefox ESR 60.8. Vom Tor Browser ist die gehärtete Ausgabe 8.5.4 erschienen. Außer der Aktualisierung der ESR-Version haben die Entwickler auch noch OpenSSL und Torbutton aktualisiert, schreibt das Tor-Team in einem Blogbeitrag.
