zurück zum Artikel

Ein Fehler im Web-Browser Mozilla ermöglicht das Ausführen von Skript-Code in einem anderen Sicherheitskontext.

Der Sicherheitsspezialist Andreas Sandblad hat im Web-Browser Mozilla [1] eine Schwachstelle entdeckt, mit der sich Cross-Site-Scripting-Angriffe [2] durch manipulierte HTML-Seiten durchführen lassen. Dabei wird Skript-Code nicht im Sicherheitskontext der Seite ausgeführt, von der er geladen wurde, sondern in dem einer anderen: Der Mozilla-Browser kann unter bestimmten Umständen Code einer vorhergehenden Seite beim Laden einer neuen Seite in deren Kontext ausführen. Wechselt ein Anwender beispielsweise von einer Internetseite, die Skript-Code enthielt, auf ein lokales Dokument, so ist bis zur vollständigen Anzeige der neuen Seite immer noch die Interaktion mit dem alten Skript möglich -- allerdings nun im Kontext der lokalen Zone mit mehr Zugriffsrechten auf das System.

Mozilla versucht mit mehreren Funktionen, Cross-Site-Scripting-Attacken zu verhindern. Sandblad hat jedoch einen Proof-of-Concept-Exploit [3] veröffentlicht, der diesen Schutz umgeht. Betroffen sind die Versionen bis einschließlich 1.5. In Mozilla 1.6 ist der Fehler nicht mehr enthalten. In der noch nicht freigegebenen neuen Version 1.4.2, die die 1.4-Serie der Websuite mit unveränderten Funktionen und API fortsetzt, ist der Fehler dann ebenfalls beseitigt.

Siehe dazu auch: (dab [4])

• Security Advisory [5] auf Bugtraq
• Fehlerbericht [6] auf Bugzilla

URL dieses Artikels:
https://www.heise.de/-94269

Links in diesem Artikel:
[1] http://www.mozilla.org
[2] https://www.heise.de/hintergrund/Cross-Site-Scripting-Datenklau-ueber-Bande-270244.html
[3] http://bugzilla.mozilla.org/show_bug.cgi?id=227417
[4] mailto:dab@ct.de
[5] http://www.securityfocus.com/archive/1/355233
[6] http://bugzilla.mozilla.org/show_bug.cgi?id=227417

Copyright © 2004 Heise Medien