Einzelheiten zu Sicherheitslücken in Mozilla, Firefox und Thunderbird

Zu den im Rahmen des Security Bug Bounty Program gefundenen Sicherheitslücken in der Websuite Mozilla, dem Standalone-Webbrowser Firefox und dem Standalone-E-Mail-Client Thunderbird gibt es in der Mozilla-Fehlerdatenbank mittlerweile nähere Einzelheiten. Die Fehler sind in den neuesten Versionen der Anwendungen (Mozilla 1.7.3, Firefox 1.0PR, Thunderbird 0.8) bereits behoben. Aufgrund der Schwere der Fehler sollten Anwender so bald als möglich ihre Versionen aktualisieren.

Im Modul "nsMsgCompUtils.cpp" wird die Länge von Puffern mehrfach nicht richtig überprüft, sodass präparierte E-Mails Buffer Overflows provozieren können. Prinzipiell ist damit auch das Einschleusen und Starten von Code möglich. Mit skriptgenerierten Ereignissen in Textfeldern können Angreifer das Clipboards lesen und beschreiben. Manipulierte Vcards überschreiben durch einen Fehler in der Funktion writeGroup() den Stack. Der Preview einer E-Mail kann so zum Ausführen von schädlichem Code führen.

POP3-Server können mit bestimmten Antworten an den POP3-Client einen Pufferüberlauf im Modul nsPop3Protocol.cpp erzeugen. Auch dieser Fehler kann zum Einschleusen von Code dienen. Angreifer können zudem Mails mit überlangen Links, in denen Nicht-ASCII-Zeichen enthalten sind, ausnutzen, um Systeme von Anwendern mit Schadcode zu infizieren.

Auch Mozilla bleibt nicht von Sicherheitslücken bei der Bildverarbeitung verschont. Ein Integer Overflow bei der Anzeige von BMP-Bild-Dateien im Browser oder einer E-Mail führt ebenfalls zu einem Sicherheitsloch, über das sich Anwender Malware einfangen können.

Abgesehen von der BMP-Schwachstelle, die nur für Windows XP bestätigt ist, sind alle Fehler betriebssystemübergreifend. Allerdings sind die Möglichkeiten des Missbrauchs unterschiedlich. Einige Linux-Versionen können sich gegen Angriffe über Buffer Overflows zur Wehr setzen. Seit XP Service Pack 2 ist dies auch unter Windows möglich, allerdings nur, wenn die entsprechenden Applikationen mit dem /GS-Flag kompiliert wurden, was bei Mozilla und Co. nicht der Fall ist, oder ein NX-fähiger Prozessor verwendet wird.

Siehe dazu auch:

• Known Vulnerabilities, Datenbank der Mozilla-Foundation zu Sicherheitslücken, entsprechenden Bugfixes und Gegenmaßnahmen in Mozilla, Firefox und Thunderbird
• Security Center der Mozilla-Foundation
• Mozilla-Foundation zahlt erste Belohnungen für gefundene Sicherheitslücken
• Mozillas Webbrowser Firefox ist (so gut wie) fertig

(dab)