Warnung: Exploit für Firefox 1.5.0.3 (mailto-Links)

Exploit für Firefox 1.5.0.3
Schwachstelle in Firefox kann ausgenutzt werden

Bereits kurz nach der Bereitstellung der neuen Firefox-Version 1.5.0.3, die eine Sicherheitslücke des 1.5.0.2 schließt, wurde schon wieder eine Lücke gemeldet. Diese soll nun auch die neue Firefox-Version betreffen, konnte jedoch zunächst nicht nachvollzogen werden. Nun aber hat das Internet Storm Center ( ISC ) bestätigt, dass eine solche Schwachstelle existiert.

Der in der Vorwoche als Nachweis vorgeschlagene Exploit schien nicht oder nur unter bestimmten Umständen zu funktionieren. Inzwischen hat das ISC einen anderen Exploit erhalten, der nachvollziehbar funktioniert. Dabei werden mittels Javascript in einer Web-Seite viele "mailto:"-Links erzeugt. Diese stecken in IMG-Tags, also in HTML-Anweisungen, die eigentlich Bilder laden sollten.

Beim Aufruf einer solchen Seite werden dann die vermeintlichen Bilder geladen, was natürlich zum Öffnen zahlloser Mail-Fenster führen kann. Dadurch kann der Rechner nun soweit ausgelastet werden, dass er nicht mehr auf Benutzeraktionen reagiert, einfriert oder gar abstürzt. Das kann im Einzelfall auch davon abhängen, welches Mail-Programm in Firefox als für mailto-Links zuständig eingetragen ist.

Als Workaround gegen die Ausnutzung dieser Schwachstelle kommen verschiedene Maßnahmen in Betracht:

Javascript komplett abschalten wäre eine Alternative. Das hilft gegen viele Sicherheitslücken, führt jedoch zu Einschränkungen bei der Nutzung diverser Websites. Eine Alternative bietet die Firefox-Erweiterung " Noscript ", die Javascript nur auf bestimmten Seiten zulässt, die man selbst festlegen kann.

Auch kann man eine Warnung beim Aufruf von mailto-Links aktivieren. Dazu muss man in der Adresszeile von Firefox "about:config" eintragen und aufrufen. Nun das Eingabefeld "Filter" am oberen Rand nutzen und dort "warn-external.mailto" eingeben. Als einzige Option bleibt dann "network.protocol-handler.warn-external.mailto" stehen, der Wert steht standardmäßig auf "false".

Durch Anklicken mit der rechten Maustaste und Auswählen von "Umschalten" setzt man ihn auf "true".

Nun wird man beim Anklicken eines Mail-Links auf einer Web-Seite jedesmal gefragt, ob man den Aufruf des Mail-Programms erlauben möchte. Das führt bei dem oben genannten Exploit zwar dazu, dass ziemlich viele solcher Bestätigungsdialoge erhalten werden, es werden jedoch keine Mail-Fenster geöffnet und der Rechner bleibt benutzbar.

Noch radikaler ist die Maßnahme, mailto-Links gänzlich abzuschalten. Dazu im Filterfeld bei about:config "external.mailto" eingeben. Option "network.protocol-handler.external.mailto" wählen, wie oben von "false" auf "true" umschalten. Ab dann passiert beim Anklicken eines mailto-Links gar nichts mehr. Beide Optionen können auf die gleiche Weise auch wieder zurück gesetzt werden.