Welche Gefahren gehen von Firefox Sicherheitslücken aus?

[manuel341]

Welche Gefahren gehen von solchen Firefox Sicherheitslücken aus, die durch Updates geschlossen werden? Konnten somit Fremde einfach so, wenn sie die Sicherheitslücke kannten auf meinen Laptop zugreifen, ohne selbst einen Fehler gemacht zu haben? Oder was versteht man unter diesen Sicherheitslücken?

 

[Fujiyama]

Es gibt ganz viele Wege auf deinen Rechner zu kommen, über Firefox wär nur einer. Auch ohne das man ein Fehler macht. Gibt ja zum Glück noch andere Browser falls das einem zu heiß wir beim Firefox.

 

[RalphS]

CVE steht für "Common Vulnerabilities and Exposures".

Da kann man danach googeln. Es gibt keine "einheitliche" Sicherheitslücke, dazu muß man sich den CVE-Eintrag schon angucken.

 

[SpiII]

https://www.mozilla.org/en-US/security/advisories/mfsa2022-09/

 

[Untertan]

wenn Du da Angst hast gibt es ja auch alternative Browser die dann ihre eigenen Sicherheitslücken haben

 

[slrzo]

Es gibt verschiedene Arten von Sicherheitslücken. Bei einem Browser werden Sicherheitslücken normalerweise dadurch ausgenutzt, dass schadhafter Code, also Befehle, ungefragt ausgeführt werden können. Dies geschieht normal nur beim Besuch einer entsprechend schädlichen Seite.
Dazu versuchen die "Angreifer" potentielle Opfer auf die manipulierten Seiten zu locken, das kann z.B. durch Werbung passieren (ein Grund einen Adblocker zu verwenden). Häufig werden auch automatisiert Seiten erstellt mit zig Schlagwörtern, damit diese bei Suchergebnissen möglichst weit oben stehen.

Wird solch eine Seite mit einem dafür anfälligen Browser besucht, kann wie oben erwähnt schadhafter Code ausgeführt werden. Hierdurch kommt es dann meist zu weiteren Beeinflussungen des Systems, z.B. ungefragte Installation von Malware etc.

Also immer schön Browser aktuell halten, damit ein mögliches Risiko minimiert werden kann.

 

[BeBur]

Konnten somit Fremde einfach so, wenn sie die Sicherheitslücke kannten auf meinen Laptop zugreifen, ohne selbst einen Fehler gemacht zu haben?

Prinzipiell musst du dafür erst auf eine Website surfen, welche die Angreife speziell vorbereitet haben, d.h. sie müssen sich auf eine der 50 Seiten Zugriff verschafft haben, auf die du surfst. Das ist insgesamt schon eher unwahrscheinlich. Angriffe auf bzw. über Werbebanner sind jedoch auch bekannt, das schrieben einige hier ja schon.

Davon ab, ja, diese Lücken scheinen so zu sein, dass es eventuell ausreicht, auf eine infizierte Seite gesurft zu haben. Dinge die man in solchen CVE Beschreibungen nicht lesen will sind z.B.: "We have had reports of attacks in the wild abusing this flaw." und ganz besonders nicht: "exploitable sandbox escape". Sandbox escape heißt im Prinzip, dass die wichtigste Verteidigungslinie deines Browsers versagt. Wenn Details nicht sofort veröffentlicht werden ist das auch immer ein sehr schlechtes Zeichen.
Generell sind sowas immer 'critical/kritische' Lücken. Schon bei der Kategorie 'high' ist es nicht mehr ganz so dramatisch. "High" heißt, dass du entweder aktiv mitwirken musst (irgendwas bestätigen, eine Warnung wegklicken o.ä.) oder dass die Lücke für sich genommen nicht ausreicht um auf deinen Computer zu kommen.

 

[andy_m4]

Konnten somit Fremde einfach so, wenn sie die Sicherheitslücke kannten auf meinen Laptop zugreifen, ohne selbst einen Fehler gemacht zu haben?

Kurz gesagt: ja
Deshalb ist es auch so wichtig seinen Browser (wie andere Software auch) aktuell zu halten und Updates so schnell wie möglich zu installieren (schon allein deshalb, weil durch die Updates überhaupt erst in weiten Teilen bösen Jungs die Lücken überhaupt bekannt werden).
In der Praxis sind Angriffe auf Browser durch Sicherheitslücken für die es noch keinen Patch gibt aber eher selten.

 

[Ranayna]

Schaedlinge koennen, grob gesagt, nur eingeschleust werden, wenn irgendein Programm auf deinem Rechner unsicheren Code ausfuehrt welcher Sicherheitsluecken ausnutzt.

Der Browser ist dein Fenster zur Welt. Er duerfte die Software sein, die mit grossem Abstand am meisten fremden, und damit potentiell gefaehrlichen, Code ausfuehrt. Und in heutigen Zeiten, wo bei vielen Webseiten mehr fremder als eigener Code ausgefuehrt wird, ist es nicht mehr ausreichend zu sagen, dass man den Webseiten die man besucht vertraut. Es reicht ein uebernommener Drittanbieter fuer Werbung oder Tracking, und schon kann auch die vermeintlich vertrauenswuerdige Webseite zur Malwareschleuder werden. Und ja, sowas ist schon vorgekommen.

Aber weil der Browser so relevant ist, haben viele Sicherheitsforscher ein genaues Auge drauf, und dementsprechend werden Luecken in der Regel schnell gefunden und gefixt.

Die resultierenden Sicherheitsupdates gehoeren dann auch umgehend eingespielt. Sonst kann ein Klick fatal sein.

 

[purzelbär]

Gut geschrieben Ranayna, ergänzend dazu: für seine Browser uBlock Orgin: https://www.google.com/search?client=firefox-b-d&q=uBlock+Orgin nutzen. Das filtert zum einem Werbung gut weg und verhindert auch so manche Infektion weil mit Adware behaftete Downloads unterbunden werden. Ist meiner Meinung nach ein Must Have für Browser.

 

[TooMuchMoon]

Es reicht ein uebernommener Drittanbieter fuer Werbung oder Tracking, und schon kann auch die vermeintlich vertrauenswuerdige Webseite zur Malwareschleuder werden. Und ja, sowas ist schon vorgekommen.

Läuft das dann über Javascripts? Da hilft ja uMatrix.

 

[purzelbär]

uMatrix wurde eingestellt habe ich mal gelesen, es gibt nur noch uBlock Origin. Edit: das isses der Artikel: https://www.borncity.com/blog/2020/09/21/ad-blocker-umatrix-ist-eingestellt/

 

[TooMuchMoon]

uMatrix wurde eingestellt

äh ich habe uMatrix noch. Und ich glaube man kann ihn auch noch herunterladen. Ist das ein Sicherheitsrisiko, wenn er nicht weiterentwickelt wird?

 

[purzelbär]

Ist das ein Sicherheitsrisiko, wenn er nicht weiterentwickelt wird?

Da fragst du noch? das Programm bekommt seit längerer Zeit keine Aktualisierungen. Sei schlau deinstalliere uMatrix und ersetze es durch uBlock Origin.