Sicherheitslücke in Firefox - Patch erschienen

@nixn: Wie Swissboy schreibt, gibt es wohl eine Diskussion über die effektive Beseitigung des Fehlers.

ach swissboy...nachher heulst du wieder, wenn die Lücke zu schnell gestopft wird. Du weisst auch nicht was du willst, aber hauptsache man kann wieder abflamen...na dann mach mal deinen "willi" hinter jeden Post.

@money_penny: Nein, das mache ich schon gerade.

@swissboy: Die lokalisierten Builds sind jetzt abgesagt und kommen frühestens morgen, die englischsprachige Beta wäre in Kenntnis dieses Problems natürlich auch nicht gekommen.

@money_penny: Oh mann, was soll dieses blöde Rumgeflenne. Schau dir swissboy's Kommentar an und du wirst feststellen, es ist komplett informativ, on-topic und objektiv. Was man von deinem Posting null verlangen kann. Is ja ok, wenn du nicht jeden leiden kannst, aber bitte behalte diesen Senf für dich oder klär das woanders ab. Und lerne die Postings wie von einem anonymen zu bewerten, und nicht von wem sie kommen. Ok?

@ Lofote: Quatsch. Der hat nur das gebetsmühlenartig runtergebetet, was ohnehin schon oben steht.

@money_penny: Dann sollteste dir ne Brille kaufen. Ich seh oben weder nen heise-Link noch die Info, dass es an der Unterstützung internationaler Domänennamen geht. Daran sieht man wieder, dass es dir nur ums flamen geht, weil du offensichtlich gar nicht gelesen hast, was ergeschrieben hat.

@I Luv Money: Problematisch ist nur, wenn die FireFox-Entwickler nicht drauf reagieren ...

@TobWen: Zum Glück haben sie ja schon reagiert :-)

@I Luv Money: keine software is frei von fehlern

@yikrazuul: Wenn er ähnliche Lücken hat, ist es eine wirkliche Alternative :-)

@yikrazuul: ich find es gut so. Es gibt zu viele Deppen, deren Lebensmotto "MS ist scheisse" oder "OS ist gut, weil's OS ist" lautet. Die bekommen endlich mal Fakten.

@TobWen: Da müsste aber schon einiges passieren, bis Firefox so kaputt wird, daß man Frame- und Fenster-übergreifend Webseiten beliebig manipulieren kann und das nicht als Designfehler betrachtet wird.

@araeee: Ich kann ja wirklich jede Schadenfreude verstehen, allerdings kann ich Dir sagen, dass überhaupt noch niemand weiß, ob und wie dieser Buffer Overflow ausnutzbar ist. Dazu liefert der Entdecker ja auch keine Angaben. Ohne zu sehr in technische Details zu gehen: Buffer Overflow ist kein Synonym für "Sicherheitslücke", sondern eine Bezeichnung für einen technischen Vorgang, der ausnutzbar sein kann oder auch nicht. Die meisten Buffer Overflows führen zu einem Absturz, mehr Details werden folgen.

Buffer Overflows sind auf x86ern nur dann nicht ausnutzbar, wenn der Stack leer ist - was bestenfalls beim Programmstart der Fall sein dürfte. Wenn's ein Heap Overflow, ein Double-Free, unzureichend abgesicherter Typecast oder eine Pseudo-NullPointer-Exception wäre, dann würde ich dir zustimmen.

@Rika: Gemäss heise hilft dieser Workaround aber auch nur "möglicherweise", schaden kann es aber sicher nicht.  PS: Dazu muss man in der Adresszeile von Firefox about:config einzugeben und dann die Option network.enableIDN auf false zu setzen.

Es funktioniert sogar mit Sicherheit. Alternativ kann man auf GreaseMonkey nehmen und einfach per Script den Exploit erkennen und entschärfen. a=document.getElementsByTagName('a'): for(b=0: b

@Rika: Hach wie haben wir diese Hochnässigkeit vermisst :)... "Jeder, der Ahnung hat" ist mit einer der schwachsinnigsten Verallgemeinerungen, die es gibt. Ahnung von was? Browsen? C++? Jeder, der soviel Zeit hatte, den Mozilla Sourcecode durchzustudieren? Jeder, der im Club der ich-hab-den-ganzen-tag-zeit-sicherheitslücken-zu-suchen-bzw-in-foren-mich-rumzutreiben... Egal was, auf jeden Fall ist das nichts, was mit der Muttermilch eingesogen wird, und ich denke, es lässt sich auch nicht unter Allgemeinbildung reindefinieren. Auf gut deutsch: Rechnen wir mal damit, dass 1% aller Mozilla User das abgeschalten haben, das ist evt. realistisch. Demnach ist das Sicherheitsloch als kritisch anzusehen und eine neue Version sollte schnellstmgölich rauskommen. Besser als Patch, denn ein kleiner Fix sollte nicht das Herunterladen und Deployen von ner komplett neuen Version bedeuten, aber das macht Mozilla ja bis 1.1 nicht :(...

Die Ahnung beziehtn sich auf IDN - wer weiß, was es ist und warum es stinkt, schaltet es ab.

@Willforce: Das ist ein Nightly Build und keine Beta, den Unterschied hatte ich schon in der anderen Firefox-Meldung von heute morgen erklärt, und außerdem hat der den Crash auch. Der Fix dafür ist noch gar nicht fertig. Pauschal besser läuft der ganz bestimmt nicht, schließlich ist es ein Nightly Build im Beta-Zweig und nicht im stabilen.

@Willforce: Ich habe schon den Eindruck dass die neue Version etwas besser läuft. bei mir startet die neue version auch schneller als die 1.0.6

@Willforce: Das auf jeden Fall, dafür ist er aber auch weniger getestet und möglicherweise weniger stabil.

@voyager: Du weißt also, dass der Crash ausnutzbar ist. Wunderbar! Dann weißt Du nämlich mehr als der Entdecker. Dein Wissen könnte sehr hilfreich sein, um das Problem zu untersuchen und zu lösen. Aber Moment mal - welches Wissen eigentlich? Das war doch nichts weiter als einer der bekannten Flames, ohne die man auch sehr gut leben kann.

@Chuck: du beschreibst das softwareprogramm wie ein stück käse , ob du damit vom eigentlichen thema ablenken kannst bezweifel ich aber .

@voyager: [ ] Du verstehst etwas von Software Entwicklung. Danke für deinen Beitrag.

Falls es jemand ganz genau verfolgen will: https://bugzilla.mozilla.org/show_bug.cgi?id=307259 - Fixes für Aviary (1.0-Linie) und den Trunk sind heute um 0.16 pazifischer Zeit (Kalifornien) eingechekt worden, also von hier aus gesehen um 9.16. Vielleicht gibt es neue Builds dann noch heute.

@iNsuRRecTiON: soll er ja auch garnicht sein :-P

Ja, es heißt "im"... Und? Ist es nicht scheißegal? Hast es doch verstanden...

@unruh: LOL! Windows XP gibts jetzt auch schon! Auch deutsch!!! Die Meldungen überschlagen sich gerade.

@unruh: ja und Telefone und Fernseher gibts auch.
Warst du länger im Urlaub, oder warum postest du solch alte kamellen.

@swissboy: Danke für diese überaus geistreiche Erklärung. Da wäre sicher niemand darauf gekommen, dass durch die IDN-Deaktivierung die IDN deaktiviert wird. Das Wort "workaround" im Newstext macht Deinen ganzen Kommentar vollends hinfällig.

@CBY: Nein, das geht nicht klar daraus hervor, lies den Satz noch einmal genau: "... ein Workaround UND eine Erweiterung, die den oben beschriebenen Fehler behebt, herausgegeben." Das Wort UND ist auch nicht ganz unwichtig. Der Fehler wird damit auch definitv nicht behoben, nur IDN deaktiviert.

@swissboy: siehste auch Firefox schlagen mal vor eine Funktion so lange nicht zu nutzen bis ein Patch da ist .. ein großer namenhafter Hersteller gibt sogar extra ein Patch raus um eine Funktion seines Browsers zu disablen :)

@balu2004: "... ein großer namenhafter Hersteller gibt sogar extra ein Patch raus um eine Funktion seines Browsers zu disablen" Genau das gleiche hat Mozilla jetzt ja auch gemacht.  :-)

@swissboy: Deine Antwort hätte ich vor schon posten können :D hatte mit einer besseren Reaktionszeit von Dir gerechnet :D In einem sind wir uns ja auch alle einig: mit Sicherheitslöchern ist nicht zu spassen und die gilt es so schnell wie möglich zu stopfen egal wie der Hersteller heißt.

@balu2004: Ja, da sind wir uns tatsächlich mal völlig einig!  :-)

@swissboy: Der "richtige" Patch, der gezielt den Pufferüberlauf behebt und nicht einfach IDN komplett abschaltet, ist seit gestern 9.16 MEZ eingecheckt, siehe [12][re:1], und im heutigen Nightly Build bereits enthalten. Du kannst es auch gerne selbst überprüfen und wirst feststellen, dass der letzte Nightly Build auf der Exploit-URL nicht mehr abstürzt. Dieser Patch muss allerdings noch getestet werden, weil dies aber nicht schnell genug geht, gibt es jetzt erst mal einen schnellen Workaround. Die Deaktivierung von IDN ist vertretbar, da der IE es nicht unterstützt und es somit kaum benutzt wird. Es ist übrigens noch gar nicht entschieden, ob es eine 1.0.7 mit diesem Patch geben wird, eben deshalb, weil die Deaktivierung von IDN eigentlich kein Problem ist. Die Beta 2 als auch die fertige 1.5 werden aber auf jeden Fall den "richtigen" Patch drin haben und IDN ganz normal unterstützen.

@installer: Ich habe nie gesagt das die Deaktivierung von IDN nicht vertretbar ist, ich habe nur diese Tatsache festgehalten.

@swissboy: Ist ja OK, will ja auch niemand unterstellen. Ich wollte nur ebenso festhalten, dass die dauerhafte Lösung natürlich nicht darin besteht, dass IDN komplett wegfällt. Da hast Du völlig recht, dass das keine "Lösung" ist, es beabsichtigt aber auch niemand, dies als "Lösung" zu bezeichnen - die neuesten Nightly Builds unterstützen IDN und crashen nicht. Aber bis verifiziert wurde, dass diese richtige Lösung auch problemlos funktioniert, was ganz sicher nicht am Wochenende passiert und noch ein paar Tage dauern kann, muss es eine temporäre Übergangs"lösung" geben => Workaround. Darüber brauchen wir uns jetzt wirklich nicht zu streiten.