Mozilla Firefox Schwachstelle (CVE-2015-4495)

Red Hat Product Security wurde auf zwei Schwachstellen im Mozilla Firefox Webbrowser hingewiesen. Speziell erstellte Webseiten mit schädlichen Absichten konnten lokale Dateien lesen. Die Schwachstelle wird unter [CVE-2015-4495] geführt (https://access.redhat.com/security/cve/CVE-2015-4495). Die Auswirkungen dieser Schwachstelle wurden als Wichtig klassifiziert. Red Hat bedankt sich beim Mozilla Projekt für die Meldung dieser Schwachstelle.

Hintergrundinformationen

Eine Schwachstelle wurde in Mozilla Firefox gefunden, die einem Angreifer den Zugriff auf lokale Dateien mittels der Berechtigungen des Firefox verwendenden Benutzers gestattete.

Die Schwachstelle wurde im PDF-Dateibetrachter von Mozilla Firefox (PDF.js) entdeckt. Ein Angreifer konnte eine schädliche Webseite erstellen, die arbiträre Dateien von dem System stehlen konnte (einschließlich privater SSH-Schlüssel, der „/etc/passwd“-Datei und anderer möglicherweise vertraulicher Dateien) auf dem Firefox lief, wenn das Opfer sich die Webseite ansah.

Diese Schwachstelle wird durch einen Fehler im Dateibetrachter von Mozilla PDF.js verursacht, der dazu verwendet werden kann, die Same-Origin-Richtlinie zu umgehen und es schädlichem JavaScript ermöglicht, Dateien vom System zu stehlen.

Auswirkungen

Es ist bekannt, dass dieser Fehler öffentlich ausgenutzt wird und eine Sicherheitslücke existiert, die es speziell auf Linux-Systeme abgesehen hat. Alle den Mozilla Firefox Browser verwendenden Red Hat Produkte sind von diesem Problem betroffen.

Hinweis: SELinux behebt dieses Problem nicht.

Sicherheits-Advisorys

Beachten Sie den Sicherheitshinweis unten, der das Problem behebt:

Auflösung

Um eine mögliche Ausnutzung der Sicherheitslücke zu verhindern, installieren Sie die aktualisierten „firefox“-Pakete, die im Advisory in der Tabelle oben bereitgestellt werden und starten Sie die Anwendung dann neu.

Installieren Sie die Aktualisierungen mithilfe des yum-Paketmanagers wie folgt:

yum update

Führen Sie den folgenden Befehl aus, um nur das „firefox“-Paket und dessen Abhängigkeiten zu installieren:

yum update firefox

Vorbeugung

Für diese Schwachstelle muss PDF.js in Firefox aktiviert sein. PDF.js können wie folgt deaktiviert werden:

1. Geben Sie „about:config“ in der Firefox-Adressleiste ein
2. Suchen Sie den Eintrag „pdfjs.disabled“
3. Setzen Sie den Eintrag „pdfjs.disabled“ auf „True“

Weitere Informationsquellen

Mozilla Advisory 2015-78
Mozilla Security Blog zu diesem Thema