"Firefox und Internet Explorer 7 vertragen sich immer noch nicht"

[L-ectron-X]

@heise online

Das Hickhack zwischen Microsoft und der Mozilla-Foundation um registrierte Protokoll-Handler und die daraus resultierenden Sicherheitsprobleme geht weiter. So wurde eine neue Demo veröffentlicht, die zeigt, wie die aktuelle Firefox-Version unter Windows XP SP2 über präparierte Links zum Starten einer Anwendung missbraucht werden kann. Dabei öffnet sich beim Klick auf einen manipulierten mailto:-, nntp:-, snews:- oder news-Link die Eingabeaufforderung und der Windows-Taschenrechner startet. Prinzipiell ließe sich so jeder beliebige Befehl ausführen und Code über eine Webseite einschleusen und starten.

Damit die neue Demo funktioniert, muss allerdings der Internet Explorer 7 installiert sein. Ist nur der Internet Explorer 6 installiert, öffnet sich nur der Standard-Mailclient Outlook Express. Welche Rolle der Internet Explorer 7 dabei spielt, ist nicht ganz klar. Nach seiner Installation ändert sich jedoch offenbar die Art, wie Windows eine URI verarbeitet. Das zeigt sich auch daran, was pssiert, wenn man den „bösen“ Link über „Ausführen“ im Startmenü direkt an die Windows Shell übergibt. Mit IE6 startet Outlook Express, mit IE7 cmd.exe und der Taschenrechner.

mehr…

[L-ectron-X]

@heise online

Lücke ist, gehen die Meinungen auseinander. Das US-CERT macht Firefox als den Schuldigen aus, da er übernommene Links nicht filtere, bevor er sie an den dafür registrierten URI-Protokoll-Handler weitergibt. Als Workaround schlägt das US-CERT vor, einen Warndialog im Firefox zu aktivieren, der den Anwender beim Aufruf etwa einer mailto-URI benachrichtigt und die Möglichkeit zum Abbruch gibt. Um die Konfigurationsseite aufzurufen, gibt man in der Adresszeile des Firefox about:config ein. Anschließend sind die Optionen:
network.protocol-handler.warn-external-default
network.protocol-handler.warn-external.mailto
network.protocol-handler.warn-external.news
network.protocol-handler.warn-external.nntp
network.protocol-handler.warn-external.snews

auf true zu setzen.

Auch das französische FrSIRT meldet auf seinen Seiten einen Fehler in Firefox beziehungsweise Mozilla und Netscape. Der Dienstleister macht ebenfalls die fehlende Filterung im Browser der Mozilla-Foundation bei der Übergabe der URIs für das Problem verantwortlich.

Einzig Secunia ist nach selbst angestellten Analysen der Meinung, dass der Fehler in Windows zu finden sei. Zudem hat Secunia herausgefunden, dass eine präparierte URI nicht die Zeichenfolge %00 enthalten muss, es genügt, wenn nur ein Prozentzeichen dort zu finden ist. So startet auf Windows XP mit Internet Explorer 7 ein Klick in Firefox auf

mailto:test%…/…/…/…/windows/system32/calc.exe".cmd

den Taschenrechner. Demzufolge wäre der von den Firefox-Entwicklern erstellte Patch wirkungslos, da er nach %00 in URIs sucht, um sie zu blockieren.

Quelle