Das Problem liegt im neuen JavaScript-Compiler (TraceMonkey)des Firefox. Dieser lässt sich durch einen relativ simplen Buffer-Overflow, bei der der Arbeitsspeicher des Browsers bewußt zum "Überlaufen" gebracht wird, attackieren. Für einen erfolgreichen Angriff reicht es bereits aus, dass eine Webseite im Browser aufgerufen und ein entsprechend präpariertes Skript geladen wird. Bislang sind allerdings noch keine Angriffe auf Nutzer des Firefox 3.5 bekannt geworden.
Ein Skript, mit dem ein solcher Angriff gestartet werden kann, kursiert bereits seit einigen Tagen im Netz auf eingängigen Seiten. Das auf der Seite MilWorm.com öffentlich bereitgestellte startet zu Demonstrationszwecken nur den Windows-Taschenrechner. Es ließe sich aber leicht so verändern, dass kritischere Aktionen ausgeführt würden. Die Attacken sind offenbar vor allem auf Windows XP durchführbar. Windows Vista stürzt lediglich ab, unter Windows 7 RC1 wird ein Menüfeld zum Beenden des Skripts angezeigt.
 |
So machen Sie Ihren Firefox wieder sicher: Der deaktivierte Eintrag in der Konfiguration des Firefox
|
Wann Mozilla einen entsprechenden Patch bereitstellen wird, ist derzeit noch unklar. Bis es soweit ist, können Sie selbst Maßnahmen zu Ihrem Schutz ergreifen. Da der Exploit nur mit aktiviertem JavaScript funktioniert, sollten Sie grundsätzlich eine Erweiterung wie
NoScript verwenden, die JavaScript nur auf von Ihnen selbst festgelegten Webseiten aktiviert.
Wollen Sie JavaScript trotzdem nutzen, können Sie
den kritischen Teil der JavaScript-Engine in wenigen Schritten deaktivieren:- Tippen Sie in der Adressleiste "about:config" (ohne Anführungszeichen) ein und drücken Sie Enter.
- Tippen Sie in der Filter-Zeile "jit" ein. Nun werden nur noch zwei Einträge im unteren Fenster angezeigt.
- Wählen Sie den Eintrag "javascript.options.jit.content" und klicken Sie doppelt darauf. Der rechts angezeigte Boolesche Wert sollte von "true" auf "false" umspringen.
Nachteil dieser Methode ist ein deutlicher Geschwindigkeitsverlust beim JavaScript-Rendering: Firefox 3.5 arbeitet danach wieder genauso schnell wie vorher Firefox 3. Für eine ausreichende Sicherheit sollte dieser Preis jedoch nicht zu hoch sein.
Mozilla arbeitet energisch an der zeitigen Veröffentlichung eines entsprechenden Patches (Firefox 3.5.1), der das Problem behebt. Dieser Patch soll so bald wie möglich erscheinen. Sobald Sie Firefox 3.5.1 installiert haben, müssen Sie die oben genannte Prozedur wiederholen (wobei Sie diesmal den Wert von "false" zurück auf "true" setzen), um die Geschwindigkeit des Firefox 3.5 wiederherzustellen.
Downloads zum Artikel:
Download: Firefox 3.5 (deutsch, Windows) Download: Erweiterung NoScript
