Mozilla bis 1.7.1, Firefox bis 0.9.2 und Thunderbird bis 0.7.2 shell: erweiterte Rechte • scip AG VulDB

VulDB: Mozilla bis 1.7.1, Firefox bis 0.9.2 und Thunderbird bis 0.7.2 shell: erweiterte Rechte

Allgemein

scipID: 748
Betroffen: Mozilla bis 1.7.1, Mozilla Firefox bis 0.9.2 und Mozilla Thunderbird bis 0.7.2 sowie MSN Messenger
Veröffentlicht: 07.07.2004 (Joshua L. Perrymon)
Risiko: kritisch

Beschreibung

Taxierung der Schwachstelle

Das Mozilla-Projekt versucht einen open-source Webbrowser zur Verfügung zu stellen. Der Mozilla Webbrowser erlangte seit der Veröffentlichung der ersten offiziellen Versionen immer mehr Akzeptanz, kann jedoch in Punkto Marktanteile mit den anderen Grössen des Genres noch nicht mithalten. Joshua Perrymon hat einen Fehler in Mozilla bis 1.7.1, Firefox bis 0.9.2 und Thunderbird bis 0.7.2 bei der Behandlung des shell-URIs entdeckt. Wie auf Full-Disclosure kurz nach Bekanntwerden der Schwachstelle berichtet wurde, ist auch der MSN Messenger betroffen. Über diesen Fehler können Shell-Kommandos ausgeführt werden. Das Problem besteht darin, dass ein Angreifer bei den besagten Browsern entsprechende Shell-Aufrufe, jedoch ohne Parameter, umsetzen kann. Weist ein Programm einen Fehler auf oder kann anderweitig für Manipulationen genutzt werden (z.B. Backdoor), können erweiterte Rechte die Folge sein. Microsoft ist diese Lücke zwar bekannt, der Windows-Hersteller will diese bei XP jedoch erst mit dem Service-Pack 2 schliessen, Patches für 2000 und NT sind bisher nicht vorgesehen. Für die betroffenen Mozilla-Versionen wurden nun deshalb aktualisierte Fassungen herausgegeben.

Eine Reihe von Schwachstellen im Microsoft Internet Explorer sind auf eine ähnliche Fehlbehandlung des shell-URIs zurückzuführen. So ist es ein bisschen ärgerlich, dass im Mozilla-Projekt nicht auf präventive Massnahmen in der Hinsicht wert gelegt wurde. Da es sich schon um die zweite problematische Schwachstelle dieser Woche in der besagten Software handelt, sind die Gemüter zur Zeit nicht gerade gut gestimmt (siehe scipID 744). Das Quality Management muss in der Hinsicht eindeutig verbessert werden, um die Akzeptanz von open-source Projekten wahren zu können.