Wie Heise Security am heutigen Montag berichtet, sind für die kürzlich entdeckten Sicherheitslücken in Firefox und Mozilla Exploits verfügbar. Zu diesen Sicherheitslücken gehört auch ein Fehler in der JavaScript-Implementierung von Firefox bzw. Mozilla - wir berichteten.

Aus diesem Grunde sollten Nutzer veralteter Programmversionen von Mozilla und Firefox schnellstmöglichst auf die aktuelle Versionen upgraden, in denen die Fehler bereits behoben wurden. Das Update auf Firefox 1.0.3 ist in unserem Downloadbereich zu beziehen, Mozilla 1.7.7 findet sich auf dieser Homepage.

interesannte exploids , beim klick darauf werden sachen und dinge gestartet und dateien auf hdd geschrieben (laut beschreibung) .
wo sinds denn die ganzen jungs die immernoch behaupten das sowas mit ihrem lieblingsbrowser "nie" möglich wäre !?
normalerweise müssten sie jetzt alles bestreiten und den topicstarter beschimpfen...

das hat nie jemand gesagt, das es unmöglich wäre. keine tatsachen hier verdrehen.... fakt ist aber das des update schneller da war als der exploit...

und das exploits für eine software auftauchen die viel genutzt wird, ist der natürliche lauf der dinge.

Wir habe nicht gesagt, dass es nie möglicht wäre, das es in Firefox Sicherheitslücken gibt. Aber dazu muss man sagen, dass sie noch nicht ausgenutzt werden und sehr schnell geschlossen werden. Das ist der feine Unterschied zwischen Firefox und IE.

wer weiss wer weiss, warum sich das noch nicht lohnt die nutzer dieses webbrowsers mit automatisch installierten müll zu überschütten.
machbar ist es ja !!! und genau das wurde sehr wohl oft bestritten , wenn mal wieder das grosse verbale hallali auf den IE geblasen wurde...
redet euch net raus....

Könnt Ihr das bitte lassen ?

Wenn überhaupt dann macht das sachlich.






Domino

Don't feed the Trolls!!!

Die einzige Möglichkeit sowas zu machen, wäre über Xpi (Erweiterung) oder Jar (Theme). Ich glaube, aber kaum das ein Firefox-User so unaufmerksam wäre und sowas installieren würde.

@Kool_Savas

lies mal bitte den beitrag dazu http://www.heise.de/newsticker/meldung/58679 .
da steht nichts von xpi ect...

Ach das meinst du. Das hat sich doch schon längst mit der 1.0.3 erledigt.

Das war nur ein Bespiele mit Xpi und Jar.

Die Lücke war übel, keine Frage. Aber:
16.04.: Firefox- und Mozilla-Updates schließen Sicherheitslücken
18.04.: Exploit für Lücke in Firefox und Mozilla führt beliebige Programme aus

Die Sicherheitslücke war also geschlossen, bevor der poc-exploit existierte. Ist das bei IE-Lücken auch so?

Unter Mozilla 1.7.6 Windows hat der Exploit bei mir darüberhinau übrigens nicht funktioniert., FF hab ich nicht installiert.

Unter Gentoo wurde Mozilla darüberhinaus quasi-automatisch upgedatet.

Und ich kenne bislang noch keinen, der sich aufgrund der Benutzung einer älteren Moz-Version Malware eingefangen hat. Beim IE sieht das ander aus.

es gibt ja schon wieder nee Beta , aber nu schnell loaden !

@Yopie

darum gehts hier eigentlich garnicht wer wann was gemacht hatte , es geht darum das es überhaupt möglich ist/war den nutzer dieses webbrowsers etwas versteckt unterzujubeln, auch zukünftig können sich wieder programmfehler einschleichen wo genau dies möglich wird.
ich warte ja nur auf den tag wo es mal einer hier zugibt ...mehr nicht
aber bei der arroganz werd ich den den tag wo nicht erleben ...

und wenn in zukunft die lücken schneller zu sind als es exploits gibt, seh ich kein problem darin.


das hat nix mit arroganz zu tun, das sind fakten! updates sind schnell da, schneller als die exploits, im gegensatz zum IE. die browser ist nicht anfällig gegen spyware zeugs..im gegensatz zum IE. usw. das ist so..das kannst du nicht damit abwerten, in dem du sagst wir laufen nur einem trend nach!

der IE hatte schon zahlreiche schwere fehler, und die updates haben MONATE gedauert...

super.... und wieder um den heissen brei geredet...

Für mich spielt die Schnelligkeit von Sicherheitsupdates schon eine Rolle. Für Dich etwa nicht?

Wo programmiert wird, passieren Fehler. Das das eine üble Lücke ist, hab ich oben bereits gesagt. Sie ist gefixt worden, bevor es Exploits gab.

Ich kenne keinen User, der sich Spyware mit Mozilla eingefangen hat. Wenn Du mir einen Mozilla-User zeigen kannst, der sich ohne aktives Zutun Spyware eingefangen hat, dann können wir uns noch mal über die Sicherheitsnachteile von Mozilla / Firefox unterhalten.

Im Endeffekt muss jeder für sich selbst entscheiden, was für ihn der bessere Browser ist. Ich nutze Mozilla nicht primär deswegen, weil er sicherer ist, sondern weil er Features beinhaltet, die ich in einem IE ohne Aufsatz vergeblich suche, und weil mir des OSS-Konzept sympathisch ist.

und wieder mal (wie eigentlich fast immer) müll geredet

@Yopie

frag mich nicht, warum die vorhandenen sicherheitsrelevanten lücken nicht auf die eine oder andere art praktisch (massiv) ausgenutzt werden (bis auf die sexuellen XPI anhänge oder so) ....ich weiss es nicht und könnte maximal nur spekulieren.
warum wechseln denn überhaupt manche leute ? weil sie mit der vorhandenen (wenn auch eingeschränkten) sicherheitsstruktur des integrierten webbrowsers nicht zurecht kommen oder weil es cool ist ein auf schlau zu machen ? ich würde sagen beides...

alle die nicht den IE benutzen wollen kommen also damit net zurecht und wollen schlau sein indem sie den FF benutzen..meine güte

Leute, bleibt bitte sachlich!

Rudi Carrera

Was sind sexuelle XPI-Anhänge? Und welche Sicherheitslücken sollten bislang massiv ausgenutzt werden, von der letzten mal ausgenommen? Da musst Du schon konkreter werden!


Ja. Das Zonenmodell ist kompliziert und lässt / ließ sich außerdem durch Ausnutzen von Sicherheitslücken umgehen. Die verschiedensten Einstellungen, die man dort pro Zone machen konnte, hab ich auch nie kapiert. Active-X-Warnung bei PDFs etc, das trägt nicht zum Verständnis bei.


Möchte ich nicht abstreiten bei einigen Usern. Viele probieren aber auch aus und kommen nach einem Vergleich zur Entscheidung, dass der IE aufgrund mangelnder Standardimplementierung und fehlender Features nur noch zweite oder dritte Wahl ist. Denen solltest Du nicht einfach vorwerfen, einen auf schlau zu machen.

Wo du Recht hast - hast du Recht!

@Yopie


ich bitte dich....http://secunia.com/
ich glaube schon das du dich selber sehr gut belesen kannst und musst nicht die tour versuchen

sicher ist der IE6 im nackischen zustand nicht erste wahl...

1) Über sexuelle XPI-Anhänge steht da nichts
2) Welche Lücken eignen sich denn zum massiven Ausnutzen? Ich kann das nicht beurteilen, aber Du scheinst das ja zu können.

Ach so, übrigens, danke für den Link. Interessante Sachen findet man da...
http://secunia.com/product/11/ vs. http://secunia.com/product/3691/

wenn eine webseite versucht xpi-erweiterungen zu installen kommt immer eine meldung, mit der frage ob der user das auch möchte. und nciht wie beim IE wo es aufgrund von sicherheitslücken möglich war sachen einfach ohne nachfrage zu installen.. somit ist die gefahr der massive bedrohung durch xpi-spyware ausgeschlossen....

@bond wieviel geld bekommt man für diese sture, massive pro-m$ tour?


Mod. Gorgo: Es reicht jetzt! Hört auf zu flamen und wenn euch an jemand anderes Meinung etwas nicht passt, dann regelt das per PN! Wir werden hier keine persönlichen Angriffe dulden!!!

@yopie


du hast aber auch eine idiotische masche drauf , alles am besten erstmal abstreiten und darauf hoffen das der andere sowieso nicht von alleine darauf kommt .
http://www.google.de/search?hl=de&q=Mozill...tnG=Suche&meta=

naja und zu dem anderen sag ich mal lieber nichts, dafür sind die moderatoren zuständig.

Ich nutze überwiegend den Maxthon, also einen verkappten IE. Für Seiten, die offensichtliches Risikopotential haben, nehme ich etwas aus der Mozilla-Familie. Selbst der alte Netscape 7.1 hat bisher gehalten. Ob es nun theoretisch möglich ist oder nicht, einen Schadcode zu installieren, ist mir Wurscht - Hauptsache ist, daß das Teil funktioniert.

Jens

So langsam wirst du unverschämt und persönlich. Wenn du erwartest das man mit dir sachlich diskutiert, dann mach du es auch.

Das andere, es ist keine Beta sondern einfach nur ein tägliches Nightly Built was aus dem täglichen Code erzeugt wird. Da 1.3 nun mal released wurde, musste der Versionsname getauscht werden... In dem Build ist noch garnichts neues.

Und was Beta angeht, lieber eine Beta vor einem Release als nachdem Release erstmal Betatester zu spielen.

- björn

@Lucky

das ist eine auslegungssache mit den nightlys, es sind aber browserbetas.
ich kann mich noch sehr gut daran erinnern wie das thema "nutzung einer beta" vor dem XP servicepack 2 final-release ausgeschlachtet wurde um damit zu flamen...
ich persönlich hab ja garnichts gegen betas, ich hasse nur manch dumpfe diskussion darüber wenn es um betas von bill gates geht....

Was hat die Benutzung von Betas nun eigentlich hier zu suchen?
Hier hat noch nie jemand dazu gerate nen Beta Firefox auf nem Produktivsystem zu benutzen, genauso wie beim Beta XP SP2.
Und wenn ich ehrlich bin ich habe früher vor der Beta XP SP2 auch gewarnt, weil sie a) als Allheilmittel gepriesen wurde obwohl sie noch ne beta war und weil sie sich nun mal sehr deutlich ins System gräbt(verständlich ist ja dafür gedacht) nur daus werden vorher keine Backups gemacht haben, sprich bei einem Fehler wäre eine Restauration des Systems schwieriger gewesen als bei einer Firefox Beta. Dort brauchst du nur 2 Ordner löschen und einmal den Firefox neu drauf kopieren.

Ist Fakt. Ich benutze zwar regelmässig ein neues Nightly Built, aber nur weil ich wissen will was neues drin ist. Wenn was kaputt ist, weiß ich einfach wie ich des entfernen kann.

- björn

@bond7
Ne, das ist keine Auslegungssache.
Jede Firma kompiliert ihren Code andauernd im Laufe des Tages um die Entwicklung zu testen. Mal nennt sich das nighlty, mal daily, mal dingsda...
Die Mozilla-Foundation lädt diese gleichzeitig auf den Server hoch - mehr nicht. Andere Firmen haben einen öffentliche Zugang zu den CVS/SVN-Servern, von welchen sich der bedarfte User die Version selbst kompilieren kann. Andere behalten diese "Versionen" ganz intern.

@Lucky
naja das waren eher nur unterstellungen, das sich die ratschläge wegen der nutzung der genannten beta um produktivsysteme gehandelt hatte , auch wenn man das mit der microsoft-eigenen warnung noch untermauern wollte...
getestet und genutzt haben es dann doch viele...

Du redest jetzt von dem XP-SP2-beta, von dem Microsoft gesagt hat, nur auf Testsystemen verwenden, keinesfalls auf Arbeitsrechnern, das wahrscheinlich nicht ordentlich deinstallierbar ist und daß sich danach das offizielle SP2 nicht verwenden läßt?

Ich lach mich schlapp, das hat ja fast schon Heise-Troll-Niveau!

Is eher langweilig...jedesmal der gleiche Quark...

Schon, nur reagiert bond7 aus einer mir verständlichen Aggression gegenüber den jahrelangen Angriffen gegen alles, auf dem "Microsoft" steht. Nun geht es Firefox mit dem steigenden Marktanteil ähnlich, allerdings muss ich den Verteidigern recht geben, denn dass die Sicherheitslücken geschlossen sind, bevor der Exploit verfügbar ist, konnte man leider vom IE in der Vergangenheit nicht behaupten.

Bleibt nur zu hoffen, dass Konkurrenz das geschäft belebt. Bezüglich der nächsten IE-Version scheint das ja bereits zuzutreffen.

Betas werden offiziell released, jedenfalls ist das bei Seamonkey so. Ein Nightly-Build ist keine Beta-Version, und auch keine Alpha-Version.

War das wirklich so? Ich kann mich nicht daran erinnern. Ich weiß nur noch, dass viele es bereits installiert hatten, obwohl es noch eine Beta war, was natürlich zu einigen Problemen führte. Von daher war die Warnung vor dem Einsatz einer Beta eines Betriebssystemupdates auf einem Produktivsystem sicherlich gerechtfertigt und alles andere als Flamerei.

ein häuslichen daddel und gamerechner als produktivsystem zu bezeichnen ist aber schon hart... das hier weiter zu führen lenkt aber zu stark vom eigentlichen thema aus postings nr. 2 weit ab.

wie bo schon richtig sagt , auf der einen seite wird nur die verbale hatz betrieben (nicht nur gegen das produkt sondern auch gegen die nutzer) und dann noch behauptungen aufgestellt das sowas in alternativen nie passieren könnte (mit betonung auf könnte) .
wie schnell sowas doch die realität einholt....wer schon argumentieren will sollte die verlogenheit weglassen , als ob das zuviel verlangt wäre .

Und noch einmal. Es hat nie jemand von den Alternative Verteidigern gesagt das es nicht so kommen kann.
Sondern nur das es dann schneller behoben wird. Siehe jetztige Lücken.

- björn

Für mich: Produktivsystem != Testsystem


Wo wird oder wurde denn das behauptet? Und wo wurde verbale Hatz gegen die User (!) betrieben?

Wenn Du anderen Verlogenheit vorwirfst, dann wäre es fair, wenn Du diese Behauptung mit Links untermauern könntest. Denn wer schon argumentieren will, der sollte seine Behauptungen mit Links belegen können.

Im Übrigen wird Dir auch nicht jede Falschaussage als Lüge ausgelegt. Wäre für Dich bestimmt wieder Flamerei und verbale Hatz gegen MS-User, deswegen lass ich das mal.

ich seh schon, das führt zu nichts.... jeder klebt an seinen standpunkten fest , welche auch immer das sein mögen .

Mal was anderes.

Zwar steht auf dieser Seite hier: http://mozilla.kairo.at/?d=x&i=release&m=d#Installer
es gäbe die Deutsche 1.7.7 Installer auf dieser Seite hier: http://germaninstaller.sourceforge.net/ da hört es aber bei 1.7.6 auf?

Kommt die noch?

Clinton

Erstmal Grüße euch allen

Finde es wirklich schrecklich das hier soviele Dinge behaupten ohne irgendwelche Fakten zu liefern!!

Erstes der Exploit existierte schon lange (seit 11.04) u. es gibt jede menge andere. Nur weil ein paar von euch die nicht kennen, heißt dass nicht das es keine weiteren Lücken gibt.

Poste mal den Exploit, vorüber soviel geredet wurde:

EDIT: Exploit entfernt, da das Posten von schädlichen Inhalten zu den "Unerwünschte Inhalte(n)" unserer Boardregeln gehört. Bo

Der Exploit wurde sowieso schon überall rumgereicht, bis Ihn schließlich jemand als 0day Exploit public gemacht hat u. das noch als sein Werk hingestellt hat

Na ja, ist ja auch jetzt egal aber schaut euch mal den Code an. Wenn ein Javascript Bug existiert wurden jetzt mit dem neuen Update ja auch gleich alle anderen entfernt oder was

Leider wird hier nur gelabbert u. noch nicht einmal das gepostet über das es eigentlich geht - wie macht Ihr das überhaupt

Und Remover kommt dann gleich mit dem Spruch Don`t feed the trolls hier an
Ahnung hast du auch keine aber gute Kontakte zu den Mods hier oder warum steht dein Sinnfreier Kommentar hier noch drin?!

Um den Code zu verstehen, braucht man allerdings ein bißchen Erfahrung in Javascrip u. html, dann sieht man sofort das dies eine Angelegenheit von Minuten ist.
Ja FF machts möglich

Toller Update Services, gewöhnt euch daran, FF ist nichts besser eher schlechter wie ein überalterter IE oder Opera ect...aber labbern kann man viel um ein Produkt als gut hin zu stellen die Fakten sehen dann meistens anders aus.

Wünsche viel Spaß beim zerflücken...mal sehen ob einige hier sind, die etwas damit anfangen können u. eine vernünftige Diskussion aufgrund des Codes anfangen können

4 Tage vom Exploit bis zum Fix finde ich nicht lange.
Das es andere Exploits geben mag ist erstmal ein Behauptung. Es ist aber möglich.
Da Du ja Ahnung hast, arbeitest Du sicher an der Behebung der Schwachstellen.

Copy & Paste des Source Codes hätte nicht sein müssen. Außerdem zerhaut der Code bei mir das Board, weil er zu breit ist.


Ist das eine Frage? Dann ist die Antwort: Nein.


Um was gehts? Den Source-Code des Exploits? Der wurde unter http://www.heise.de/security/news/meldung/58679 verlinkt, warum postest Du ihn noch einmal? Das ist keine Leistung und erst recht kein Nachweis Deiner Kompetenz. Link zu http://www.mikx.de/firelinking/ hätte gereicht.


Das was eine Angelegenheit von Minuten ist? Den Code zu schreiben? Toll. Und was sagt das aus?


Aha. Ein gefixter Bug im FF macht ihn also schlechter als einen überalterten IE. Das erklär mal bitte.
Das mit dem Labern hast Du ja schon richtig gut begriffen. Nur mit den Fakten, da musst Du noch dran arbeiten.
Außerdem hat mein Update-Service tadellos funktioniert: emerge sync && emerge -uD world


Prima. Dann fang doch mal an, mit einem Argument, was auf dem Code basiert. Bislang hab ich leider nur das gelesen, was Du anderen vorwirfst: Laberei. Fakten: Fehlanzeige.

Mit 11.04 meinte ich den 11 Nov. 2004

Der link von heise, was soll das sein, ein Exploitcode
Eher wohl ein Scherz...

Fakten stehen dort, es ist das was du als Board sprengen bezeichnest

Hast dir viel mühe gemacht, bitte sachlicher werden sonst kann ich dir auch nicht helfen

[ ] Du kannst lesen.


[X] Du hast keine Argumente.

Außerdem kommt mir Deine Art zu posten sehr bekannt vor. Ich ziehe die entsprechenden Konsequenzen daraus.

Dann schreib das auch so, lieber bond. Und schreib es nicht so das die Leute meinen es sei der 11.04.05...

- björn

Bond7, ihr siehst du die Qualität von IE.

Qualität

Sagt mal: geht's noch?
Ständig diese trotzig kindliche Streitereien, welcher Browser denn der besser sein soll. Seid doch froh, daß es ein paar verschiedene gibt, sonst würde einer alleie bestimmen, wo's langgeht - und sowas war noch nie gut. Und Löcher haben alle. Deshalb muß man sich doch nicht gleich zum Pressesprecher von Firmen/Vereinigungen erheben...
Ich bewundere die Geduld einiger Leute hier, deren Hemdskragen vermutlich aus Gummi zu sein scheint, sonst würde der platzen.

Hier einen Exploit (ist es einer?) reinzukopieren, ist eine tolle Leistung. Vielleicht findet dann auch der letzte tumbe H4x0r endlich einen tollen 'Virus' für seine bei Beepworld gehostete Warezseite... sowas sollte man meiner Meinung nach sofort nach dev/null schieben. Was Heise und andere Foren tun, ist deren Bier.

Sorry, aber ich tue mir das nicht länger an. Die Funktion ignore habe ich bei einigen Leuten in dieser Diskussion ausprobiert - und sie funktioniert.

bye,
StormRider

Den 1.7.7 installieren, das deutsche Sprachpaket von der 1.7.6 hinterher --> paßt.
Evtl. danach das englische Zeug entfernen und neu starten (den Browser). Habe damit keine Probleme.

Jens