Technische Warnung des Buerger-CERT
[Bcert-2007-0112/1]:
Neue Firefox-Version schliesst kritische Sicherheitsluecken

Risiko: Hoch

Betroffene Systeme:
Mozilla Firefox < 2.0.0.6,
Mozilla Thunderbird < 2.0.0.6, 1.5.0.13
Mozilla SeaMonkey < 1.1.4.


Empfehlung:

Installieren Sie das fuer Firefox bereits verfuegbare Update umgehend
auf ihrem System. Sie koennen die neue Version ueber die Update-Funktion
Ihres Browsers oder ueber folgende Webseite beziehen:
http://www.mozilla.com/en-US/firefox/all.html
Die aktualisierten Versionen fuer Thunderbird und SeaMonkey sollen in
Kuerze auf den Herstellerwebseiten zum Download bereit stehen.

Beschreibung:

Mozilla schliesst mit seinem Update zwei Luecken im Webbrowser Firefox.
Bei gemeinsamer Installation des Internet Explorer 7 und des Mozilla
Firefox existiert eine Sicherheitsluecke, die es einem entfernten
Angreifer ermoeglicht beliebige Anwendungen / Systembefehle auf einem
Rechner auszufuehren. Die Schwachstelle basiert auf einem Fehler in der
Verarbeitung von URLs mit integrierten %00-, %- oder Anfuehrungszeichen.

Eine weitere Sicherheitsluecke wurde durch das Einspielen der Version
2.0.0.5 aufgedeckt. Ueber manipulierte Webseiten kann z.B. beliebiger
JavaScript-Code mit erhoehten Rechten ausgefuehrt werden.

Quellen:

Mozilla Foundation Security Advisory 2007-26
http://www.mozilla.org/security/announce/2007/mfsa2007-26.html
Mozilla Foundation Security Advisory 2007-27
http://www.mozilla.org/security/announce/2007/mfsa2007-27.html