Tag Archives: Sicherheitslücke

Firefox: ungepatchte 17 Jahre alte Sicherheitslücke

Posted on by

Wie uns die TheHackerNews heute mitteilen, gibt es im Firefox eine ungepatche Sicherheitslücke, die streng genommen, seit 17 Jahren im Firefox schlummert.

Same-Origin-Policy versagt

Die Same-Origin-Policy versagt bei Zugriffen auf „file://“ URLs. Was andere Browser schon vor Jahren behoben haben, ist für die Firefox Entwickler nicht wichtig, da es bislang keinen Exploit dafür gab. Das hat sich geändert:

Was wir hier sehen, wenn das Bild denn scharf wird (runterladen per youtube-dl hilft dabei), ist folgendes:

Eine Email mit einem HTML Attachment wird in einem Webmail geöffnet.
Die HTML Datei wird von Firefox abgespeichert, wie man sieht im HOME des Users!
Die HTML Datei wird mit Firefox über file://…  geöffnet und ..
präsentiert uns den Inhalt des Verzeichnisses.

Die HTML Seite enthält Javascriptcode, der über die File und Fetch Api vom Browser das Verzeichnis und die Dateien ausliest und dann mit AJAX die Daten exfiltriert.

Ein Patch dafür ist nicht in Arbeit, da Mozilla die Lücke nicht als solche anerkennt. Mal sehen ob sich das jetzt ändert 😉

Quelle: https://thehackernews.com/2019/07/firefox-same-origin-policy-hacking.html

aktueller FireFox mit Sicherheitsschwachstelle

Posted on by

Wie die Hacker News berichten, ist ein Angriff gegen aktuelle FireFox Browser möglich, bei dem Addons von den Angreifern  installiert werden können. Die Schwachstelle liegt im „Certificate Pinning“ Algorithmus, der entgegen der IETF Richtline anders als Empfohlen von Mozilla implementiert wurde. CP wird eingesetzt um sicherzustellen, daß man einem Seitenbesucher kein gefälschtes SSL Zertifikate unterjubeln kann, wenn dieser eine Webseite besucht. Mit anderen Worten, es merkt sich, wer welches Zert hatte.

Abhilfe schafft das Abschalten der automatischen Updates für Addons. Dazu in die Add-On-Verwaltung reingehen, das Werkzeugicon rechts oben ausklappen und auf „Manuelle“ Updates umstellen. Fertig.

Sicherheitslücke in OpenOffice muß manuell gefixt werden

Posted on by

Für alle unter Euch die OpenOffice einsetzen und die Updates nicht per Distro bekommen: Ihr müßt jetzt aktiv werden!

OpenOffice hat eine „schwere“ Sicherheitslücke : CVE-2016-1513 Ein manipuliertes Officefile zu öffnen reicht schon aus.

Zunächst mal müßt Ihr auf OO 4.1.2 updaten, sofern Ihr das noch nicht gemacht habt. Dazu müssen die Pakete erstmal geladen werden. Hier die Downloadlinks für Fedora/RedHat :

Download

http://netcologne.dl.sourceforge.net/project/openofficeorg.mirror/4.1.2/binaries/de/Apache_OpenOffice_4.1.2_Linux_x86-64_install-rpm_de.tar.gz

Dann braucht Ihr noch den Patch für den HotFix :

https://archive.apache.org/dist/openoffice/4.1.2-patch1/binaries/Linux64/apache-openoffice-4.1.2-patch1-apply-Linux64.zip

Update Openoffice

  1. Das Archiv auspacken und dann in das RPMS Verzeichnis wechseln
  2. mit „su“ Root werden
  3. rpm -U *rpm

Install Patch

  1. Den Patch auspacken. Ihr findet eine Datei namens libtl.so
  2. mv {PFAD zum ausgepackten Archiv}/libtl.so /opt/openoffice4/program/
  3. Die Frage nach de Überschreiben bejahen.

Fazit

Ja, es ist ein HotFix. HotFixe sind dämlich einzuspielen, aber der ganze Updatemechanismus von OpenOffice ist nicht mehr zeitgemäß. Es gibt jetzt zwei Möglichkeiten, ich stelle allen ein Repository zur Verfügung, aber dann gehen Hotfixe unter, oder wir wechseln zu LibreOffice, weil das im Repo von Fedora gepflegt wird.

Pikant an der Lücke ist, das sie seit dem 21.Juli bekannt ist und erst jetzt ein Fix verfügabr ist. Kein Gutes Zeichen für OpenOffice.