Webbrowser: Firefox und Firefox ESR 115.0.2 schließen Sicherheitslücke

Die Entwickler der Mozilla Foundation haben den Webbrowser Firefox und Firefox ESR in Version 115.0.2 herausgegeben. Die aktualisierten Fassungen dichten ein Sicherheitsleck ab. Zudem korrigiert sie einige Fehler.

Die US-Cyber-Sicherheitsbehörde CISA warnt, dass Angreifer durch die Sicherheitslücke die Kontrolle über ein betroffenes System übernehmen können. In der Sicherheitsmeldung der Mozilla-Entwickler erläutern diese, dass während des Lebenszyklus eines sogenannten Workers eine Use-after-free-Lücke auftreten könne, die in einen möglicherweise ausnutzbaren Absturz mündet (CVE-2023-3600, noch kein CVSS-Wert, Risiko "mittel").

Firefox-Lücke: Bedrohungsgrad hoch

Abweichend von der Einstufung als mittleres Risiko gemäß CVE-Zusammenfassung stufen die Entwickler den Bedrohungsgrad jedoch als hoch ein (impact high). Die neuen Browser-Versionen räumen zudem laut der Release-Notes noch weitere Fehler aus. So konnte der Browser beim Start bei einigen Windows-10- und Windows-11-Nutzern abstürzen. Das Blockieren von bösartigen, injizierten DLL-Bibliotheken helfe dem ab.

Windows-7-Nutzer konnten ebenfalls Abstürze im Zusammenhang mit der DLL-Blockliste erleben, was nun Geschichte ist. Auf einigen Webseiten habe der Text-Editor fälschlicherweise einen Cursor angezeigt. Zudem konnte die Tonausgabe auf einigen Webseiten gestört sein. Beim Anzeigen von SVG-Dateien kam gelegentlich ein Fehler zum Tragen, bei dem die Umsetzung des patternTransform-Attributs falsche Einheiten genutzt hat.

Da die Mozilla-Entwickler und die CISA das Risiko der Schwachstelle offenbar als hoch einstufen, sollten Firefox-Nutzer zügig sicherstellen, die aktuelle Version zu nutzen. Durch Klick auf das Einstellungsmenü, das sich hinter dem Symbol mit den drei waagerechten Strichen rechts von der Adresszeile befindet, und dem weiteren Weg über "Hilfe" - "Über Firefox" öffnet sich der Firefox-Versionsdialog. Der zeigt die aktuell aktive Version an und startet gegebenenfalls den Update-Prozess. Linux-Nutzer gehen dazu wie üblich den Weg über die Distributions-eigene Software-Verwaltung.

Erst in der vergangenen Woche hatte die Mozilla-Foundation den Versionszweig 115 von Firefox veröffentlicht. Darin haben die Programmierer bereits zahlreiche Sicherheitslücken abgedichtet.

• Firefox: Download schnell und sicher von heise.de
• Firefox ESR: Download schnell und sicher von heise.de

(dmk)