Mozilla-Wartungsdienst verschafft Angreifern Systemrechte
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen.
Mozilla hat zahlreiche Schwachstellen [1] in Firefox und Thunderbird geschlossen. Neben einigen kritischen, wie etwa ausnutzbaren Speicherfehlern [2], befindet sich darunter auch eine Lücke im Mozilla Maintenance Service [3] für Windows, die zu einer Rechteausweitung führen kann. Würde es einer Malware gelingen, im Kontext des angemeldeten Benutzers ausgeführt zu werden, könnte sie so an Systemrechte gelangen.
Eine ähnliche Schwachstelle haben die Mozilla-Entwickler bereits vor rund einem Jahr in dem Dienst behoben [4]. Der Maintenance Service sorgt kümmert sich darum, dass Mozilla-Updates installiert werden können, ohne dass der Nutzer dafür einen UAC-Dialog abnicken muss [5]. Behoben wurde die Lücke mit den Updates auf Firefox 21 [6] und Firefox 17.0.6 ESR [7] sowie Thunderbird 17.0.6 [8] und 17.0.6 ESR [9]. Ein Update für die SeaMonkey-Suite gibt es derzeit nicht, dürfte aber folgen.
Siehe dazu auch:
(rei [11])
URL dieses Artikels:
https://www.heise.de/-1863388
Links in diesem Artikel:
[1] https://www.mozilla.org/security/known-vulnerabilities/
[2] https://www.mozilla.org/security/announce/2013/mfsa2013-41.html
[3] https://www.mozilla.org/security/announce/2013/mfsa2013-44.html
[4] https://www.heise.de/news/Rechteausweitung-durch-Mozilla-Updater-1611728.html
[5] https://support.mozilla.org/de/kb/was-ist-der-mozilla-wartungsservice
[6] ftp://ftp.mozilla.org/pub/firefox/releases/latest/
[7] ftp://ftp.mozilla.org/pub/firefox/releases/latest-esr
[8] ftp://ftp.mozilla.org/pub/thunderbird/releases/latest
[9] ftp://ftp.mozilla.org/pub/thunderbird/releases/17.0.6esr/
[10] https://www.heise.de/news/Firefox-21-mit-erweiterten-Do-Not-Track-und-Social-API-1863318.html
[11] mailto:rei@heise.de
Copyright © 2013 Heise Medien