OpenSSL

Tor Browser 10.0.12 aktualisiert Basis und Komponenten

Kurz nach dem Erscheinen des Firefox-Browser nebst seiner ESR-Version (Extended Support Release) in den neuen Versionen 86 bzw. 78.8 erschien, wurde jetzt wie üblich auch der anonymisierende Tor Browser aktualisiert. Die neue Version Tor 10.0.12 ist sowohl in einer Desktop-Ausgabe für Linux, macOS und Windows als auch für Android verfügbar und erhielt Software-Updates und Bugfixes. Der Tor Browser 10.0.12 beinhaltet Sicherheitsupdates aus der Firefox-Basis und hat je nach Plattform variierende Bugfixes erhalten. Außerdem haben die Entwickler NoScript auf 11.2.2, OpenSSL auf 1.1.1j und Tor auf 0.4.5.6 aktualisiert. Firefox-Updates für Desktop und Android Der Tor Browser 10.0.12 für den Desktop greift auf die neueste Firefox ESR-Basis (Version 78.8) zurück, in welcher insgesamt vier Sicherheitslücken, davon drei mit "High"-Einstufung, beseitigt wurden. Von dreien dieser Lücken soll nach Angaben von Mozilla ein hohes Risiko ausgehen: Sie könnten unter bestimmten Voraussetzungen ausgenutzt werden, um aus der Ferne beliebigen Programmcode zur Ausführung zu bringen oder aber um sensible Informationen abzugreifen. Auch die neue Tor-Browser-Version für Android basiert auf dem aktuellen Firefox in der Android-Fassung 86.1.0. Details zu darin behobenen Sicherheitslücken verrät das Tor Browser-Team im Security-Advisory der regulären Firefox-Version 86. Daraus wurden insgesamt 12 Sicherheitslücken entfernt, von denen fünf als "High"-Bedrohung eingestuft wurden. Nur zwei der im Advisory beschriebenen Lücken betreffen ausschließlich Android-Systeme (CVE-2021-23976 [...]

Firefox 68 verhindert Ausbruch aus der Sandbox

Die Browser Firefox, Firefox ESR und der anonymisierende Tor-Browser sind angreifbar, und die Angreifer können alle drei Mozilla-Browser im schlimmsten Fall aus der Sandbox ausbrechen lassen oder Schadcode ausführen. Die abgesicherten Versionen stehen jetzt zum Download bereit. Die dafür genutzte Sandbox-Lücke (CVE-2019-9811) haben Sicherheitsforscher während des Hacker-Wettbewerbs Pwn2Own im März 2019 entdeckt – jetzt gibt es auch das Sicherheitsupdate, um die Lücke zu schließen. Die Sicherheitslücke besteht in Firefox und in der Langzeitversion Firefox ESR. Weil der anonymisierende Tor Browser auch auf Firefox ESR basiert, ist er auch betroffen. Um einen erfolgreichen Ausbruch aus der Sandbox hinzulegen, muss der Angreifer allerdings sein Opfer dazu bringen, ein manipuliertes Sprachpaket zu installieren – das relativiert natürlich die Gefährlichkeit. In seiner Sicherheitswarnung dazu gibt Mozilla noch Informationen zu weiteren Sicherheitslücken. Darüber könnten Angreifer Speicherfehler auslösen und den Browser so zum Absturz bringen. Das könnte dann als Einfallstor für Schadcode genutzt werden.. Die Sicherheitsupdates für die Firefox-Varianten Als abgesichert gelten die Versionen Firefox 68 und Firefox ESR 60.8. Vom Tor Browser ist die gehärtete Ausgabe 8.5.4 erschienen. Außer der Aktualisierung der ESR-Version haben die Entwickler auch noch OpenSSL und Torbutton aktualisiert, schreibt das Tor-Team in einem Blogbeitrag.