Hotfix für TorMoil Bug: Fehler legt IP-Adresse von Tor-Nutzer offen

Vor kurzem entdeckte Filippo Cavallarin, der CEO des Tor Browsers, eine kritische Sicherheitslücke die Mac und Linux betrifft und zur Offenlegung der IP-Adresse des Nutzers führen kann. Nun ist ein Hotfix für den Fehler verfügbar - ganz beheben kann der das Problem aber noch nicht. Der Fehler wurde TorMoil Bug genannt, angelehnt an Turmoil, zu deutsch der Aufruhr. Dabei können die IP-Adressen der eigentlich anonymisierten Nutzer doch geleakt werden, wenn bestimmte Bedingungen erfüllt werden. Dazu gehört es Adressen zu öffnen, die nicht mit https:// oder http:// sondern mit file:// beginnen. TorMoil bedroht aktuell nur Mac- und Linux-Versionen des Tor-Browsers; Windows und Tails sind nicht betroffen. Ob diese Schwachstelle bereits zu Ungunsten der Tor-Anwender genutzt wird, ist nicht bekannt. Es gibt zumindest derzeit dazu keine Verweise in den einschlägigen Foren.

Temporäre Hilfe

Wie das Online-Magazin ArsTechnica berichtet, gibt es aber jetzt eine temporäre Hilfe die die kritische Sicherheitslücke im Tor-Browser für Linux und Mac schließt.

Das Tor Browser Projekt hat dazu zunächst einen Hotfix nur für die experimentelle Browser-Version veröffentlicht. In Version 7.0.9 wird die Schwachstelle behoben. Geplant ist der Release mit einer überarbeiteten Alpha-Version dann für jedermann für den kommenden Montag, 6. November.

Für diese neue Version gibt es allerdings einen bekannten Fehler, der unter dem Ticket 24052 abgelegt wurde: Adressen die mit file:// starten können zur Vorsicht aktuell nicht durch einfaches Anklicken geöffnet werden. Zur Abhilfe wird empfohlen, stattdessen die Adresse auf ein Browserfenster zu ziehen und so die Adresse zu öffnen. So wird das Problem umschifft, das zur Sicherheitslücke führte. Damit habe man eine wirksame Abwehrmaßnahme, denn bisher ist nicht bekannt, wie es überhaupt bei Linux und Mac zu dem Problem kommt.


Download Tor Browser-Paket - Anonym im Web surfen