Cross-Site-Scripting-Lücke in Firefox

Michal Zalewski hat eine Lücke in Firefox 2 und wahrscheinlich auch älteren Versionen entdeckt, die Angreifern Cross-Site-Scripting-Attacken ermöglicht. Das Problem entsteht dadurch, dass die location.hostname-Eigenschaft des Document Object Model (DOM) im Open-Source-Browser nicht mit NULL-terminierten Zeichenketten arbeitet. Dadurch stellt sich für Firefox in boeseseite.com\x00www.beispiel.de boeseseite.com als Subdomain von www.beispiel.de dar; der DNS-Eintrag löst jedoch wegen der NULL-terminierten Zeichenkette nach boeseseite.com auf.

Dadurch können Angreifer dann etwa Cookies von www.beispiel.de stehlen oder manipulieren. Auch die Eigenschaft document.domain können Angreifer so manipulieren und dadurch auf Inhalte anderer Frames zugreifen. Zalewski stellt eine Webseite bereit, die die Schwachstelle demonstriert. Die Entwickler diskutieren die Lücke in einem Eintrag im Bugzilla-System. Dort steht zu lesen, dass der Angriff nicht funktioniert, wenn Anwender in der Konfigurationsdatei den Eintrag

user_pref("capability.policy.default.Location.hostname.set", "noAccess");

ergänzen.

Abhilfe in Form eines Software-Updates gibt es bislang noch nicht. Allerdings wollen die Entwickler in Kürze Version 2.0.0.2 freigeben. In der bislang aktuellen Entwicklerversion 2.0.0.2 RC2 haben sie den Fehler jedoch noch nicht behoben.

Siehe dazu auch:

• Firefox: serious cookie stealing / same-domain bypass vulnerability, Sicherheitsmeldung von Michal Zalewski
• Demonstration der Sicherheitslücke von Zalewski
• Eintrag im Bugzilla-System von Mozilla

(dmk)