Firefox 53, am 19. April 2017 veröffentlicht, markierte einen bedeutenden Meilenstein in der kontinuierlichen Anstrengung von Mozilla, die Sicherheit seiner Nutzer zu gewährleisten. Diese Version brachte eine umfassende Reihe von Fehlerbehebungen mit sich, die auf zahlreiche Sicherheitslücken abzielten. Von kritischen Schwachstellen, die eine direkte Bedrohung für die Integrität der Nutzerdaten und -systeme darstellten, bis hin zu geringfügigeren Problemen, die das Benutzererlebnis beeinträchtigen könnten – Firefox 53 adressierte ein breites Spektrum an Sicherheitsrisiken. Das Verständnis dieser Schwachstellen ist essenziell, um die Bedeutung regelmäßiger Browser-Updates zu unterstreichen und ein hohes Maß an digitaler Sicherheit aufrechtzuerhalten. Es zeigt, dass alle Browser, einschließlich des Microsoft Edge 64 bit, ständige Pflege benötigen, um sicher zu bleiben.
Kritische Sicherheitslücken in Firefox 53
Die als “kritisch” eingestuften Sicherheitslücken bergen das höchste Risiko. Ihre Ausnutzung könnte Angreifern die Möglichkeit geben, beliebigen Code auszuführen, sensible Daten zu stehlen oder das System zum Absturz zu bringen. Mozilla hat mit Firefox 53 entscheidende Schritte unternommen, um diese gravierenden Bedrohungen zu eliminieren.
CVE-2017-5433: Use-after-free in SMIL-Animationsfunktionen
Diese Use-after-free-Schwachstelle tritt in SMIL-Animationsfunktionen auf, wenn Zeiger auf Animationselemente in einem Array aus dem Animations-Controller entfernt werden, obwohl sie noch in Gebrauch sind. Dies resultiert in einem potenziell ausnutzbaren Absturz des Browsers.
CVE-2017-5435: Use-after-free während der Transaktionsverarbeitung im Editor
Eine weitere Use-after-free-Schwachstelle wurde während der Transaktionsverarbeitung im Editor bei Interaktionen im Design-Modus entdeckt. Das Ausnutzen dieser Lücke kann ebenfalls zu einem potenziell ausnutzbaren Absturz führen.
CVE-2017-5436: Out-of-bounds Write mit bösartiger Schriftart in Graphite 2
In der Graphite 2-Bibliothek wurde ein Out-of-bounds Write durch eine bösartig manipulierte Graphite-Schriftart ausgelöst. Dies kann zu einem potenziell ausnutzbaren Absturz führen. Das Problem wurde sowohl in der Graphite 2-Bibliothek als auch in Mozilla-Produkten behoben, was die Zusammenarbeit bei der Sicherung von Software-Abhängigkeiten unterstreicht.
CVE-2017-5461: Out-of-bounds Write bei Base64-Kodierung in NSS
Eine Out-of-bounds Write-Schwachstelle wurde während der Base64-Dekodierungsoperation in der Network Security Services (NSS)-Bibliothek aufgrund unzureichender Speicherzuweisung für den Puffer festgestellt. Dies führt zu einem potenziell ausnutzbaren Absturz. Die NSS-Bibliothek wurde aktualisiert, um dieses Problem zu beheben, und Firefox 53 wurde mit NSS Version 3.29.5 aktualisiert. Für Anwender, die Software-Installationen ohne direkte Internetverbindung bevorzugen, sind Optionen wie ein Edge offline download von Vorteil, um sicherzustellen, dass man auch unter solchen Umständen die aktuellsten Patches erhält.
CVE-2017-5459: Pufferüberlauf in WebGL
Ein Pufferüberlauf in WebGL, der durch manipulierte Webinhalte ausgelöst werden kann, resultiert in einem potenziell ausnutzbaren Absturz. Solche Schwachstellen sind besonders gefährlich, da sie ohne direkte Nutzerinteraktion aktiviert werden können.
CVE-2017-5466: Ursprungsverwechslung beim Neuladen einer isolierten data:text/html-URL
Wenn eine Seite von einer ursprünglichen Website über einen Hyperlink geladen wird und eine Weiterleitung zu einer data:text/html-URL enthält, wird beim Auslösen eines Neuladevorgangs die neu geladene data:text/html-Seite mit einem falschen Ursprung ausgeführt. Dies ermöglicht einen Cross-Site-Scripting (XSS)-Angriff, der sensible Informationen preisgeben könnte.
CVE-2017-5430 & CVE-2017-5429: Speicherfehler in Firefox 53 und ESR
Mozilla-Entwickler und Community-Mitglieder berichteten über mehrere Speichersicherheitsfehler in Firefox 52, Firefox ESR 45.8 und Firefox ESR 52. Einige dieser Fehler zeigten Anzeichen von Speicherbeschädigung und es wurde angenommen, dass sie bei ausreichendem Aufwand zur Ausführung von beliebigem Code ausgenutzt werden könnten. Die Behebungen umfassen wichtige Patches für die Stabilität und Sicherheit des Browsers, welche die Resilienz gegenüber ausgeklügelten Angriffen erhöhen.
Hochgradige Sicherheitslücken in Firefox 53
Neben den kritischen Problemen wurden in Firefox 53 auch zahlreiche hochgradige Sicherheitslücken behoben, die ebenfalls erhebliche Risiken darstellen und nicht unbeachtet bleiben sollten.
CVE-2017-5434: Use-after-free bei Fokusbehandlung
Eine Use-after-free-Schwachstelle tritt bei der Umleitung der Fokusbehandlung auf, was zu einem potenziell ausnutzbaren Absturz führen kann.
CVE-2017-5432: Use-after-free bei Textauswahl
Während bestimmter Textauswahlvorgänge tritt eine Use-after-free-Schwachstelle auf, die ebenfalls zu einem potenziell ausnutzbaren Absturz führen kann.
CVE-2017-5460: Use-after-free bei Frame-Auswahl
Eine Use-after-free-Schwachstelle bei der Frame-Auswahl, ausgelöst durch eine Kombination aus bösartigem Skriptinhalt und Tastendrücken durch einen Benutzer. Dies führt zu einem potenziell ausnutzbaren Absturz.
CVE-2017-5438: Use-after-free in nsAutoPtr während der XSLT-Verarbeitung
Eine Use-after-free-Schwachstelle während der XSLT-Verarbeitung aufgrund eines vom freigegebenen Handler gehaltenen Ergebnis-Handlers. Dies führt zu einem potenziell ausnutzbaren Absturz.
CVE-2017-5439: Use-after-free in nsTArray Length() während der XSLT-Verarbeitung
Eine Use-after-free-Schwachstelle während der XSLT-Verarbeitung aufgrund einer fehlerhaften Behandlung von Vorlagenparametern. Dies führt zu einem potenziell ausnutzbaren Absturz.
CVE-2017-5440: Use-after-free im txExecutionState-Destruktor während der XSLT-Verarbeitung
Eine Use-after-free-Schwachstelle während der XSLT-Verarbeitung aufgrund eines Fehlers bei der Weitergabe von Fehlerbedingungen während des Abgleichs bei der Kontextauswertung, was dazu führt, dass Objekte verwendet werden, wenn sie nicht mehr existieren. Dies führt zu einem potenziell ausnutzbaren Absturz.
CVE-2017-5441: Use-after-free bei Auswahl während Scroll-Ereignissen
Eine Use-after-free-Schwachstelle beim Halten einer Auswahl während Scroll-Ereignissen. Dies führt zu einem potenziell ausnutzbaren Absturz.
CVE-2017-5442: Use-after-free bei Stiländerungen
Eine Use-after-free-Schwachstelle bei Stiländerungen während der Manipulation von DOM-Elementen. Dies führt zu einem potenziell ausnutzbaren Absturz.
CVE-2017-5464: Speicherbeschädigung mit Barrierefreiheit und DOM-Manipulation
Bei DOM-Manipulationen des Barrierefreiheitsbaums durch Skripte kann der DOM-Baum mit dem Barrierefreiheitsbaum asynchron werden, was zu Speicherbeschädigung und einem potenziell ausnutzbaren Absturz führt.
CVE-2017-5443: Out-of-bounds Write während der BinHex-Dekodierung
Eine Out-of-bounds Write-Schwachstelle während der Dekodierung unsachgemäß formatierter BinHex-Archivformate, die das System anfällig machen könnte.
CVE-2017-5444: Pufferüberlauf beim Parsen von application/http-index-format-Inhalten
Eine Pufferüberlauf-Schwachstelle beim Parsen von application/http-index-format-Inhalten, wenn der Header unsachgemäß formatierte Daten enthält. Dies ermöglicht ein Out-of-bounds Read von Daten aus dem Speicher, was zu Informationslecks führen kann.
CVE-2017-5446: Out-of-bounds Read beim Senden von HTTP/2 DATA-Frames mit falschen Daten
Ein Out-of-bounds Read tritt auf, wenn eine HTTP/2-Verbindung zu einem Server DATA-Frames mit falschem Dateninhalt sendet. Dies führt zu einem potenziell ausnutzbaren Absturz und kann die Verfügbarkeit des Dienstes beeinträchtigen.
CVE-2017-5447: Out-of-bounds Read während der Glyph-Verarbeitung
Ein Out-of-bounds Read während der Verarbeitung von Glyphenbreiten beim Textlayout. Dies resultiert in einem potenziell ausnutzbaren Absturz und könnte es einem Angreifer ermöglichen, sonst unzugänglichen Speicher zu lesen.
CVE-2017-5465: Out-of-bounds Read in ConvolvePixel
Ein Out-of-bounds Read während der Verarbeitung von SVG-Inhalten in ConvolvePixel. Dies führt zu einem Absturz und ermöglicht es außerdem, sonst unzugänglichen Speicher in SVG-Grafikinhalte zu kopieren, die dann angezeigt werden könnten, was ein erhebliches Datenschutzrisiko darstellt.
CVE-2017-5448: Out-of-bounds Write in ClearKeyDecryptor
Eine Out-of-bounds Write-Schwachstelle in ClearKeyDecryptor während der Entschlüsselung einiger ClearKey-verschlüsselter Medieninhalte. Der ClearKeyDecryptor-Code läuft innerhalb der Gecko Media Plugin (GMP)-Sandbox. Wenn ein zweiter Mechanismus gefunden wird, um die Sandbox zu umgehen, ermöglicht diese Schwachstelle das Schreiben beliebiger Daten im Speicher, was zu einem potenziell ausnutzbaren Absturz führt. Für Nutzer, die Wert auf die manuelle Aktualisierung legen, ist der Edge Microsoft Download Offline eine wichtige Ressource, um auch ohne ständige Online-Verbindung auf dem neuesten Stand zu bleiben.
CVE-2016-10196: Schwachstellen in der Libevent-Bibliothek
Drei Schwachstellen wurden in der Libevent-Bibliothek gemeldet, die Out-of-bounds Reads und Denial-of-Service (DoS)-Angriffe ermöglichen. Diese wurden in der Libevent-Bibliothek behoben, und diese Änderungen wurden in den Mozilla-Code portiert, was die Bedeutung der Wartung von Drittanbieterbibliotheken unterstreicht.
CVE-2017-5454: Sandbox-Escape, der Dateisystem-Lesezugriff über Dateiauswahl ermöglicht
Ein Mechanismus zur Umgehung von Dateisystem-Zugriffsschutzmechanismen in der Sandbox, um über die Dateiauswahl auf andere Dateien als die in der Dateiauswahl ausgewählten zuzugreifen, durch die Verwendung relativer Pfade. Dies ermöglicht schreibgeschützten Zugriff auf das lokale Dateisystem, ein ernstes Datenschutzproblem.
CVE-2017-5455: Sandbox-Escape über interne Feed-Reader-APIs
Die internen Feed-Reader-APIs, die die Sandbox-Grenze überschritten haben, ermöglichten einen Sandbox-Escape und eine Eskalation von Rechten, wenn sie mit einer anderen Schwachstelle kombiniert wurden, die zur Remote Code Execution innerhalb des Sandbox-Prozesses führte.
CVE-2017-5456: Sandbox-Escape, der Zugriff auf das lokale Dateisystem ermöglicht
Ein Mechanismus zur Umgehung von Dateisystem-Zugriffsschutzmechanismen in der Sandbox unter Verwendung des Dateisystemanfrage-Konstruktors über eine IPC-Nachricht. Dies ermöglicht Lese- und Schreibzugriff auf das lokale Dateisystem, was eine vollständige Kompromittierung des Systems bedeuten könnte.
CVE-2017-5469: Potenzielle Pufferüberläufe in flex-generiertem Code
Potenzielle Pufferüberläufe im generierten Firefox-Code wurden aufgrund des CVE-2016-6354-Problems in Flex behoben. Diese Fehler verdeutlichen die Komplexität der Softwareentwicklung und die Notwendigkeit einer gründlichen Code-Prüfung.
Moderate Sicherheitslücken in Firefox 53
Die moderaten Schwachstellen sind weniger kritisch, sollten aber dennoch ernst genommen werden, da sie das Nutzererlebnis beeinträchtigen oder kleinere Sicherheitsrisiken darstellen können.
CVE-2017-5445: Uninitialisierte Werte beim Parsen von application/http-index-format-Inhalten
Eine Schwachstelle beim Parsen von application/http-index-format-Inhalten, bei der uninitialisierte Werte zur Erstellung eines Arrays verwendet werden. Dies könnte das Lesen von uninitialisiertem Speicher in die betroffenen Arrays ermöglichen.