Mozilla behebt Zero-Day-Fehler in Firefox, der zum Angriff auf Tor-Nutzer verwendet wurde

Journalistische Software-Tor Browser Der Tor-Browser ist das am weitesten verbreitete Datenschutz-Tool, um anonym im Internet zu surfen. Das Tor-Projekt hat das Netzwerk teilweise auf Open-Source-Code aufgebaut, der einer alten Version von Firefox ähnelt. Nutze eine Schwachstelle in dieser Firefox-Version aus und du entlarvst die ansonsten anonymen Tor-Nutzer. Genau das ist diese Woche mit Mozillas beliebtem Browser passiert, und die Organisation war schnell dabei, ein Update herauszubringen, das die Zero-Day-Schwachstelle behebt.

Eine öffentliche Mailingliste des Tor-Projekts enthüllte den Fehler, der Mozilla dazu veranlasste, Firefox auf Version 50.0.2 zu aktualisieren. Das Tor-Projekt-Team gab auch Patches für den Tor-Browser heraus, der nun auf Version 6.0.7 aktualisiert wurde. Während das Tor-Projekt glaubt, dass die Schwachstelle nur Windows-Nutzer betroffen hat, ist es auch möglich, dass der Fehler auch macOS- und Linux-Nutzer getroffen hat.

Die Zero-Day-Schwachstelle betraf auch Mozillas Thunderbird-E-Mail-Anwendung und die Firefox Extended Support-Version. Daniel Veditz, Leiter des Sicherheitsteams von Mozilla, schrieb in einem Blogbeitrag:

Der Exploit nutzte einen Fehler in Firefox aus, um dem Angreifer zu ermöglichen, beliebigen Code auf dem Zielsystem auszuführen, indem das Opfer eine Webseite mit schädlichem JavaScript- und SVG-Code lädt. Diese Fähigkeit wurde genutzt, um die IP- und MAC-Adresse des Zielsystems zu sammeln und an einen zentralen Server zurückzuleiten.

Eine ernsthafte Bedrohung

Wenn ein Angreifer einen Nutzer dazu verleiten kann, schädliche Webinhalte zu besuchen, ist es möglich, beliebigen Code auf dem System aus der Ferne auszuführen, indem die Schwachstelle ausgenutzt wird.

Sicherheitsexperten glauben, dass der Exploit ähnlich ist wie ein Firefox-Fehler, den das FBI 2003 nutzte, um Besucher einer Kinderpornografie-Website zu identifizieren. Veditz schrieb, dass die Bedrohung nun eine ernsthafte Gefahr für die Privatsphäre darstellt, falls eine Regierungsbehörde sie tatsächlich entwickelt hat.