symlink.ch
Wissen Vernetzt - deutsche News für die Welt
 
symlink.ch
FAQ
Mission
Über uns
Richtlinien
Moderation
Einstellungen
Story einsenden
Suchen & Index
Ruhmeshalle
Statistiken
Umfragen
Redaktion
Themen
Partner
Planet
XML | RDF | RSS
PDA | WAP | IRC
Symbar für Opera
Symbar für Mozilla

Freunde
Benutzergruppen
LUG Switzerland
LUG Vorarlberg
LUGen in DE
SIUG
CCCZH
Organisationen
Wilhelm Tux
FSF Europe
Events
LinuxDay Dornbirn
BBA Schweiz
CoSin in Bremgarten AG
VCFe in München
Menschen
maol
Flupp
Ventilator
dawn
gumbo
krümelmonster
XTaran
maradong
tuxedo

 
Neue Klasse von sicherheitskritischen Browser-Bugs?
Veröffentlicht durch XTaran am Montag 14. August 2006, 12:13
Aus der Crash-my-Firefox Abteilung
Security Michal Zalewski hat auf Full Disclosure die Ende Juli entdeckte Schwachstelle in Firefox (MFSA2006-46, CVE-2006-3113) mit einem weiteren Beispiel ähnlicher Machart kommentiert und prophezeit eine ganze Ladung solcher Bugs, die dadurch ausgelöst werden können, daß per Timer JavaScript ausgeführt wird, welches auf andere, noch im Programmablauf befindliche Teile zugreifen oder diese abbrechen. Darüber könne potentiell fremder Code eingeschleust und ausgeführt werden.

<  grml 0.8 Funkenzutzler verfügbar | Druckausgabe | Mitschnitt der Radiosendung über WLAN online  >

 

 
symlink.ch Login
Login:

Passwort:

extrahierte Links
  • Mozilla Firefox
  • Full Disclosure
  • Mozilla
  • Michal Zalewski
  • MFSA2006-46
  • CVE-2006-3113
  • weiteren Beispiel
  • kommentiert
  • Mehr zu Security
  • Auch von XTaran
    •

    Diese Diskussion wurde archiviert. Es können keine neuen Kommentare abgegeben werden.
    zu dem Beispiel (Score:2)
    Von KingDom (kingdom auf weltuntergang punkt ch) am Monday 14. August 2006, 12:30 MEW (#1)
    (User #55 Info)
    Könnte man vor oder hinter dem Beispielliink noch einen Vermerk anbringen, dass dieser den Browser killt? Wenn man die restlicheh Links noch nicht gelesen hat und (wie ich) einfach mal alle Links in einem neuen Tab aufmacht, ist das etwas ärgerlich.

    --
    You live and learn; or you don't live long.
    Re: zu dem Beispiel (Score:1)
    Von Treibholz am Monday 14. August 2006, 13:01 MEW (#2)
    (User #1329 Info) http://www.sozial-inkompetent.de
    Also ich empfehle Dir einfach mal Deinen Browser up-to-date zu halten, dann passiert Dir sowas nämlich nicht. Mit meinem Firefox 1.5.0.5 ist mir überhaupt nichts passiert....
    Re: zu dem Beispiel (Score:1)
    Von haruschi am Monday 14. August 2006, 13:34 MEW (#3)
    (User #791 Info)
    beim mir killts mit 1.5.0.6 den Browser zumindest unter Windows...
    Re: zu dem Beispiel (Score:1)
    Von Treibholz am Monday 14. August 2006, 13:39 MEW (#4)
    (User #1329 Info) http://www.sozial-inkompetent.de
    nein, das passiert mir auch unter Windows nicht...
    Re: zu dem Beispiel (Score:0)
    Von Anonymer Feigling am Monday 14. August 2006, 14:02 MEW (#5)
    Mei mir killt's auch den "Firefox/2.0a3 (FBSD)" (nach 20 Sek, aber bei Aktivierung von "noscript"), nur wird der den Anfangszustand wieder herführen nach dem Neustart ;)
    Re: zu dem Beispiel (Score:0)
    Von Anonymer Feigling am Monday 14. August 2006, 14:02 MEW (#6)
    Mein 1.5.0.6 hauts weg !

    Könnt euch die dummen "musst halt aktualisieren"-Sprüche ersparen.

    1.5.0.6 unter Linux.

    Müsst aber schaun, dass Javascript aktiviert ist. Wenn deaktiviert passt auch bei mir nix ^^
    Re: zu dem Beispiel (Score:0)
    Von Anonymer Feigling am Tuesday 15. August 2006, 18:27 MEW (#18)
    ist das tatsächlich zufall, dass obiges posting über firefox 2.0a3 und das darunter über firefox 1.5.0.6 zur gleichen zeit abgesendet worden sind? hat sich n admin wohl n scherz erlaubt; süss.
    Re: zu dem Beispiel (Score:2)
    Von Longkong am Monday 14. August 2006, 18:23 MEW (#12)
    (User #1919 Info)
    Also mir verhauts 1.5.0.6 ebenfalls
    Re: zu dem Beispiel (Score:1, Lustig)
    Von Anonymer Feigling am Monday 14. August 2006, 14:41 MEW (#8)
    Völlig falsche Forderung. Was wir wirklich brauchen sind politische Maßnahmen. Ich empfehle, dass Webseiten vom TÜV geprüft und vom Bundeswebamt zugelassen werden müssen. Nur damit kann diesen gewissenlosen Kriminellen beikommen. Daher meine Bitte: Schreibt umgehend an euren ganz privaten Abgeordneten! Danke.

    --
    AKW - Anti-Killer Webseiten, damit unsere Kinder in einem sauberen und sicheren Weltennetz aufwachsen.
    Re: zu dem Beispiel (Score:2)
    Von XTaran (symlink /at/ deux chevaux /dot/ org) am Monday 14. August 2006, 17:25 MEW (#11)
    (User #129 Info) http://abe.home.pages.de/

    Ich zitiere aus dem Quellcode des Symlink-Artikels:

    [...] <A HREF="http://lcamtuf.coredump.cx/ffoxdie.html" TITLE="Achtung! Ein Klick auf diesen Link läßt Firefox und wahrscheinlich auch andere auf Gecko basierende Browser abstürzen!">weiteren Beispiel</A> ähnlicher Machart [...]

    --
    There is no place like $HOME
    Re: zu dem Beispiel (Score:1)
    Von mirabile (root@[IPv6:2001:6f8:94d:4:2c0:9fff:fe1a:6a01]) am Tuesday 15. August 2006, 02:03 MEW (#13)
    (User #504 Info) http://mirbsd.de/
    Es crasht Den Browser nicht.

    (Lynx ist immer noch der Standardwebbrowser.)
    Ich bin BSDler, ich darf das!
    Dieser Platz zu vermieten!
    Genereller Tip (Score:0)
    Von Anonymer Feigling am Monday 14. August 2006, 14:06 MEW (#7)
    Die Firefox-Extension session-saver installieren. Nie mehr Ärger, wenn der Browser abschmiert. Und obendrein eine Art Undo, wenn man ein Tab schliesst, dass man dann doch lieber offen behalten hätte.
    Re: Genereller Tip (Score:0)
    Von Anonymer Feigling am Monday 14. August 2006, 15:34 MEW (#9)
    klar, und am besten eine gefaehrliche webseite oeffnen... dann startet der ff und stuerzt gleich wieder ab.
    Re: Genereller Tip (Score:2, Informativ)
    Von dai-shan am Tuesday 15. August 2006, 14:09 MEW (#16)
    (User #1233 Info)
    was wiederrum von der extension erkannt wird, die dann beim nächsten neustart nachfragt ob sie die abstürzende session wiederherstellen soll :)
    Re: Genereller Tip (Score:0)
    Von Anonymer Feigling am Monday 14. August 2006, 16:27 MEW (#10)
    Mein Tipp: Bug report einschicken.

    Der wesentliche Unterschied zwischen Microschrott und Open-Source sollte doch sein, dass das die Community (ein grässliches Wort) mithilft. Bugs wegkleistern sollte man doch bitte den professionellen (grässliches Wort) Endwicklern (hatschi!) überlassen, die dafür bezahlt werden und nicht von Nutzer belästigt werden möchten.

    Von hawten Fyrefawkz-Xtenzionz würde ich sowieso die Finger lassen, denn die sind der Anfang vom Ende.
    Re: Genereller Tip (Score:1)
    Von gravedigga (lukas(dot)bischof(at)gmail(punkt)com) am Tuesday 15. August 2006, 06:01 MEW (#14)
    (User #1779 Info)
    oder tabmix-plus (mein favorit)

    allerdings wird dir das überhaupt nicht helfen - eine korrumpierte session wieder herzustellen ist das dümmste was du machen kannst. ähnlich wie einen server nach einer erfolgreichen attacke neu starten.
    Plugin NoScript (Score:0)
    Von Anonymer Feigling am Tuesday 15. August 2006, 12:18 MEW (#15)
    Mit dem Plugin NoScript, kann man speziellen Seiten erlauben Javascript laufen zu lassen.
    Die restlichen sind gesperrt.
    So hatte ich auch die Möglichkeit mit meinem FireFox die Seite zu betrachten.
    Just say no to JavaScript (Score:2)
    Von dino (neil@franklin.ch.remove) am Tuesday 15. August 2006, 16:29 MEW (#17)
    (User #32 Info) http://neil.franklin.ch/
    JS einfach abschalten, komplett, dann ist man diesen und jede Menge anderer noch unbekannter zukuenftiger Loecher los.

    JS scheint eh nur fuer Eyecandy (Popupmemues und aehnlichem) verwendet zu werden. Das Web tat auch vor dieser sinnlosen Erfindung bestens. Seither weniger gut und unsicherer.

    Nerven tun einem danach nicht mehr Abstuerze oder gar Datenverluste, sondern nur noch die broken Sites deren Webdesigner es nicht schaffen an ihrem Eyecandy vorbeizusehen und auch ohne JS Zugriff zu ermoeglichen. Was jeder eigentlich schon aus Ruecksicht auf Sehbehinderte und deren Screenreader (HTML Source analysier und vorlese Programme) machen sollte (fuer professionell gemachte Sites sogar gesetzlich vorgeschrieben in einigen Laendern).
    --
    GPL ist neo-amerikanische Freiheit: du bist gezwungen frei - von jeder Moeglicheit die sie schaedlich erachten

    Linux User Group Schweiz
    Durchsuche symlink.ch:  

    Never be led astray onto the path of virtue.    		 trash.net

    Anfang | Story einsenden | ältere Features | alte Umfragen | FAQ | Autoren | Einstellungen