News Sicherheitsproblem in Mozilla-Browsern

[++g-x++]

man geht garnicht mehr ins netz dann ist man sicherer

 

[Blutschlumpf]

Ich surf nur noch mit Lynx, der wird sicher nicht zum Massenbrowser und Sicherheitslücken bei Textdarstellung sind um vieles unwahrscheinlicher.

 

[HappyMutant]

Solange es einfacher ist DAUs Webseiten vorzugaukeln, wird sich niemand die Mühe machen einen ganzen Browser nachzubilden. Denn eigentlich funktioniert diese Lücke nur wenn man einen Link bekommt (per Email z.B.) und dann ungeprüft seine Daten doch eingibt. Nur ist das dank dem möglichen fälschen der Adressleiste sowohl im IE als auch in Opera (hat Firefox gehabt ist aber schon behoben) und nachbauen der vorzugaukelten Seite, was ja auch hier passiert, wesentlich einfacher als für einen Browser die gesamte Oberfläche nachzubauen. Und die auch nur auf den ersten blick so scheint. Mit ein bißchen offenen Augen ist die Fälschung gut zu sehen. Also ich finde die Lücke zwar durchaus bedenklich, aber andereseits nichts weswegen jetzt z.B der IE sicherer wäre.

 

[AlanMozilla]

Also ich würde allen Nörglern inkl. Steffen Webber empfehlen
in Zukunft nur doch den IE zu verwenden.
Denn der ist Sicher kosten nichts und ist von Mickysoft.
Sicherheitslöcher werden da sofort gefixt,
die Firma lässt die User eben nicht im Regen stehn.

 

[Neo44]

Bei mir funktioniert diese "eindrucksvolle Demonstration" gar nicht.
Das ganze sieht dann so aus:

http://www.neo44.de/stuff/Test.jpg

In dem Fall ist natürlich offensichtlich dass da was faul ist.
Hab eigentlich keine besonderen Extensions installiert und JavaScript
so eingerichtet wie auf der Demo-Seite beschrieben.

Mich wundert nur dass innerhalb des Spoofs auch die Qute-Icons verwendet werden.
Auf dem Screenshot im CB-Artikel werden die Standard-Icons angezeigt.

Außerdem:
Will mich zwar nicht unbedingt in die ewige Diskussion einschalten aber ich benutze
Firefox & Thunderbird und das ist auch gut so!
Überzeuge gerne Unschlüssige von den Vorteilen aber letztendlich ist es ja doch Geschmackssache.
Jeder wie er will!

 

[MountWalker]

Bei mir funktioniert diese "eindrucksvolle Demonstration" gar nicht.
Das ganze sieht dann so aus:

http://www.neo44.de/stuff/Test.jpg

In dem Fall ist natürlich offensichtlich dass da was faul ist.
Hab eigentlich keine besonderen Extensions installiert und JavaScript
so eingerichtet wie auf der Demo-Seite beschrieben.

Ja, bei Tabbed-Browsing ist das normal, war auch schon in einem der anderen Kommentare, öffnest du allerdings in neuem Fenster bleibt nur die doppelte Statusleiste, sofern die Java-Funktion Ausbelendung der Satusleiste auch deaktiviert ist.

Mich wundert nur dass innerhalb des Spoofs auch die Qute-Icons verwendet werden.
Auf dem Screenshot im CB-Artikel werden die Standard-Icons angezeigt.
...

Der grund steht bereits in der News: dank XUL wird dein Browser-Interface nachgebildet, egal welches Theme du darauf anwendest, dieses Theme ist mit Bestandteil der Nachbildung, XUL sei dank.

 

[Neo44]

Ok, danke.

Als vorübergehenden Patch also die Tabbrowser Erweiterung benutzen.
Mal sehen welcher der Vorschläge in Bugzilla sich letztendlich durchsetzt.

 

[Homer]

" Also ich würde allen Nörglern inkl. Steffen Webber empfehlen
in Zukunft nur doch den IE zu verwenden.
Denn der ist Sicher kosten nichts und ist von Mickysoft.
Sicherheitslöcher werden da sofort gefixt,
die Firma lässt die User eben nicht im Regen stehn."

hehe richtig erkannt, total laecherlich von einer 'riesigen sicherheitsluecke' zu sprechen...computerbase naehert sich mehr und mehr computerbild niveau...

 

[Rodger]

Also bei mir tut sich rein garnix, wobei das mich nicht sonderlich wundert, weil ich die Mozilla-Suite V1.7 drauf hab und das wohl ersmal nur bei FireFox funzt. Es wäre wohl aber auch für andere Mozilla-Browser möglich zu programmieren. Dennoch bin ich so auf der ganz sicheren Seite

Zu dem gemetzel hier um Bog oder nicht Bug: Subjektiv denke ich kann man das ohne weiteres Bug nennen. Es einen schwerwiegenden Bug zu nennen halte ich allerdings für übertrieben.
Das dieser Bug zum Erfolg des Hackers führt müssen schon sehr viele Faktoren zusammentreffen.
Selbst wenn mich solch ein Bug NIEMALS treffen könnte (Ich lese sowas generell auf der Webseite des entsprechenden Anbieters nach), versuche ich auch an andere User zu denken, aber wie gesagt, schätze ich auch da die Erfolgsquote überaus niedrig ein.
Die Mozilla-Entwickler und Anwender sind Bugs, die keine Abstürze oder Fehler nach sich ziehen nicht gewohnt und daher wird so ein Wind darum gemacht, denke ich. Hingegen sinds beim IE ja fast ausschließlich Sicherheitslöcher, die gefunden werden.
Das die Darstellung des Problems eher forsch und bedenklich erfolgt, hier z.B. durch ComputerBase ist eine Folge dessen, das man FireFox vorgestellt, empfohlen und gelobt hat. Wenn man das getan hat, kann man demjenigen auch keine Parteiigkeit vorwerfen.
Ich sehe es jedenfall positiv, das CB das Problem größer Darstellt, als es wirklich ist. Die dürfen das aus gennanten Gründen für mich und der User ist um so besser vorgewarnt.

+Punkte fürs CB-Team

Gruß
Rodger

 

[Steffen]

Also ich würde allen Nörglern inkl. Steffen Webber empfehlen
in Zukunft nur doch den IE zu verwenden.
Denn der ist Sicher kosten nichts und ist von Mickysoft.
Sicherheitslöcher werden da sofort gefixt,
die Firma lässt die User eben nicht im Regen stehn.

Ich benutze selbst Mozilla Firefox, weil man damit denke ich trotzdem um einiges sicherer surft als mit dem Internet Explorer. Wo du das "Nörgler" her nimmst, wirst du mir wohl nicht beantworten können?

Es muss auch gesagt werden dürfen, dass Mozilla eine Sicherheitslücke hat, es macht ihn ja nicht direkt zu einem schlechten Browser. Und auch wenn diese Sicherheitslücke quasi ein Feature ist, das missbraucht wird, lässt sich damit dem Anwender in perfekter Manier vorgaukeln, er befinde sich auf einer vertrauenswürdigen Seite, was ja Sicherheitslücke genug sein sollte. Auch wenn es keine "klassische" Sicherheitslücke sein mag...

Edit: Ich habe den Titel der News etwas entschräft. Das ist eventuell der Teil gewesen, der nicht ganz wertfrei gewesen ist und dieser Eindruck wurde dann beim Lesen des Textes (verständlicherweise) mitgeschleppt.

 

[byte]

Mein Gott...warum machen eigentlich so viele Nachrichtenseiten so einen Aufruhr nur wegen ein paar Bugs?
In den Jahren in denen Mozilla entwickelt wurde / wird, sind 1000de Bugs aufgedeckt worden, aber ich könnte mich nicht erinnern, dass damals gleich News gepostet wurden.

 

[Steffen]

Liegt daran, dass Mozilla heute um ein Vielfaches öfter eingesetzt wird. Wenn über jeden Bug in einer absoluten Nischensoftware berichtet würde, wären wohl alle News-Seiten damit überschwemmt. (Wenn sich jemand überhaupt die Arbeit machen würde... ;-)

 

[Schorsch]

Irgendwie sehe ich keinen Sinn darin, den ganzen Browser zu imitieren. Es würde doch reichen, nur die Website z.B. der Bank des Opfers zu imitieren. Und das geht wiederum mit jedem Browser.
Wenn es nur darum geht, dass oben die richtige Adresse angezeigt wird, dann muss ich sagen: Jemandem, dem es nicht auffällt, dass die Bookmarks fehlen, dem fällt es auch nicht auf, dass eine falsche Adresse angezeigt wird.

 

[prodan]

Um die "Demonstration" ein wenig auszuhebeln kann man z.B. folgendes tun:

- about:config in der URL-Zeile eingeben und Enter drücken
- jetzt gibt man als Filter "dom.disable" ein
- den wert "dom.disable_window_open_feature.location" auf true setzen
- den wert "dom.disable_window_open_feature.menubar" auf true setzen
- den wert "dom.disable_window_open_feature.status" auf true setzen
- den wert "dom.disable_window_open_feature.toolbar" auf true setzen

Jetzt können die URL, Menubar, Statusbar und Toolbar nicht mehr ausgeblendet werden und das Ganze sieht weniger beeindrukend aus.

 

[bend3r]

Danke für den Tipp!

 

[Scuzzle]

Netter Tip

Ich meine vorher sah es einfach nur irgendwie "komisch" aus mit den fehlenden Bookmarks, jetzt siehts einfach nur krank aus...

Ich denke der Trick sollte das Risiko gegen Null gehen lassen...

 

[The_Jackal]

Verwunderlich finde ich, dass die Sache schon 5 Jahre lang laufen soll, aber M$ macht doch den selben blödsinn XULs mit dem äquivalenten XAML, also wird es wohl wieder einen Bug im IE geben, den jetzt Mozilla leider auch hat

Irgendwie ist aber immer Java(Script) dran Schuld

Gibt es denn nix besseres?

 

[onlyJR]

Frag mich wo da der Bug sein soll, nur weil jemand eine Webseite bauen kann die die der Browser aussieht. Was kann denn der Browser dafür ? Ich kann auch eine bauen die wie MacOS aussieht. Ist das dann ein MacOS-Bug ?! :-)

 

[punisher-75]

hallo mann kann doch auch dass tool Spoofstick nehmen!


www.corestreet.com/spoofstick/

 

[BigKub]

naja der IE hat den selben fehler und es gibt da auch noch kein update.... und ich wette mozilla hat das schneller gefixt als MS

-> http://derstandard.at/?url=/?id=1745819

und das IE-Demo -> http://ja-web.de/tmp/iefake/