{"id":184383,"date":"2016-11-30T10:24:18","date_gmt":"2016-11-30T09:24:18","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=184383"},"modified":"2021-02-03T10:10:42","modified_gmt":"2021-02-03T09:10:42","slug":"achtung-firefox-zero-day-exploit-enttarnt-tor-nutzer","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/11\/30\/achtung-firefox-zero-day-exploit-enttarnt-tor-nutzer\/","title":{"rendered":"Achtung: Firefox Zero-Day-Exploit enttarnt Tor-Nutzer"},"content":{"rendered":"<p>Im Firefox-Browser gibt es eine gravierende Sicherheitsl\u00fccke, die in einem Zero-Day-Exploit aktiv ausgenutzt wird, um Tor-Nutzer zu enttarnen. Der Fehler tritt unter Windows auf, wenn JavaScript aktiviert ist und k\u00f6nnte auch andere Firefox-Nutzer treffen. Die Firefox-Entwickler suchen momentan nach einem Fix.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/52db03bdc46c43d8bf1309827e8cfdd9\" alt=\"\" width=\"1\" height=\"1\" \/>Der erste Hinweise auf eine Zero-Day-Sicherheitsl\u00fccke findet sich in <a href=\"https:\/\/lists.torproject.org\/pipermail\/tor-talk\/2016-November\/042639.html\" target=\"_blank\" rel=\"noopener\">diesem Tor-Foren-Posting<\/a> vom 29. November 2016.<\/p>\n<blockquote><p>This is an Javascript exploit actively used against TorBrowser NOW. It consists of one HTML and one CSS file, both pasted below and also de-obscured. The exact functionality is unknown but it's getting access to \"VirtualAlloc\" in \"kernel32.dll\" and goes from there. Please fix ASAP.<\/p><\/blockquote>\n<p>Dann folgt der Code des JavaScript-Exploits im betreffenden Posting. Kurz danach wurde diese Sicherheitsl\u00fccke durch den Gr\u00fcnder des Tor-Projekts, Roger Dingledine, <a href=\"https:\/\/lists.torproject.org\/pipermail\/tor-talk\/2016-November\/042640.html\" target=\"_blank\" rel=\"noopener\">best\u00e4tigt<\/a>. Die Datei <em>kernel32.dll <\/em>geh\u00f6rt zu Windows, sprich, der Exploit ist nur unter diesem Betriebssystem m\u00f6glich.<\/p>\n<p>Sicherheitsforscher haben zwischenzeitlich best\u00e4tigt, dass der fragliche JavaScript-Code einen Memory Corruption-Fehler ausl\u00f6st. Dadurch kann Schadcode unter Windows ausgef\u00fchrt werden.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">The shellcode used is almost exactly the shellcode of the 2013 one <a href=\"https:\/\/t.co\/6vuIzqp0rj\">https:\/\/t.co\/6vuIzqp0rj<\/a><\/p>\n<p>&#8230;except it builds sockaddr_in on the stack. <a href=\"https:\/\/t.co\/pWsUe4uHiZ\">https:\/\/t.co\/pWsUe4uHiZ<\/a><\/p>\n<p>\u2014 slipstream\/RoL (@TheWack0lian) <a href=\"https:\/\/twitter.com\/TheWack0lian\/status\/803736507521474560\">29. November 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>In <a href=\"https:\/\/twitter.com\/TheWack0lian\/status\/803736507521474560\" target=\"_blank\" rel=\"noopener\">einem Tweet<\/a> weist <a href=\"https:\/\/twitter.com\/TheWack0lian\" target=\"_blank\" rel=\"noopener\">@TheWack0lian<\/a> darauf hin, dass dieser Angriffsvektor bereits 2013 durch das FBI ausgenutzt wurde (siehe <a href=\"http:\/\/arstechnica.com\/security\/2013\/08\/attackers-wield-firefox-exploit-to-uncloak-anonymous-tor-users\/\" target=\"_blank\" rel=\"noopener\">diesen Arstechnica-Artikel<\/a>). Man muss also davon ausgehen, dass der Exploit bei den betreffenden staatlichen Institutionen bekannt ist und wohl auch ausgenutzt wird.<\/p>\n<p>Weitere Analysen legen nahe, dass der Exploit einen Remote Code Execution-Angriff unter Windows erm\u00f6glicht. Und das d\u00fcrfte nicht nur Tor-Nutzer sondern jeden Firefox-Anwender tangieren. Die Schwachstelle scheint wohl in einer breiten Palette an Firefox-Versionen (Version 41 bis 50) zu finden sein. Bis ein Fix von den Mozilla-Entwicklern ausgerollt wird, hilft wohl nur, JavaScript im Browser abzuschalten. Weitere Hinweise finden sich in <a href=\"http:\/\/arstechnica.com\/security\/2016\/11\/firefox-0day-used-against-tor-users-almost-identical-to-one-fbi-used-in-2013\/\" target=\"_blank\" rel=\"noopener\">diesem ArsTechnica-Beitrag<\/a>. Nachtrag: Zwischenzeitlich hat heise.de einen erweiterten <a href=\"https:\/\/www.heise.de\/newsticker\/meldung\/Zero-Day-Exploit-bedroht-Firefox-und-Tor-Nutzer-3518557.html\" target=\"_blank\" rel=\"noopener\">deutschsprachigen Beitrag <\/a>zum Thema publiziert.<\/p>\n<p>Nachtrag: Wie in den folgenden Kommentaren bereits erw\u00e4hnt, gibt es Updates. Details im Artikel\u00a0<a href=\"https:\/\/web.archive.org\/web\/20171225221256\/https:\/\/www.borncity.com:80\/blog\/2016\/12\/01\/neue-firefox-version-50-0-2-und-tor-update-6-0-7\/\" rel=\"bookmark\">Neue Firefox Version 50.0.2 und Tor-Update 6.0.7<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Im Firefox-Browser gibt es eine gravierende Sicherheitsl\u00fccke, die in einem Zero-Day-Exploit aktiv ausgenutzt wird, um Tor-Nutzer zu enttarnen. Der Fehler tritt unter Windows auf, wenn JavaScript aktiviert ist und k\u00f6nnte auch andere Firefox-Nutzer treffen. Die Firefox-Entwickler suchen momentan nach einem &hellip; <a href=\"https:\/\/borncity.com\/blog\/2016\/11\/30\/achtung-firefox-zero-day-exploit-enttarnt-tor-nutzer\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1432,426],"tags":[44,1782,2964],"class_list":["post-184383","post","type-post","status-publish","format-standard","hentry","category-firefox-internet","category-sicherheit","tag-firefox","tag-sicherheitslucke","tag-tor"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/184383","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=184383"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/184383\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=184383"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=184383"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=184383"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}