Bug in Firefox ermöglicht Browser-Hijacking über Wi-Fi
Wir empfehlen Ihnen, Firefox für Android sofort auf die neueste Version zu aktualisieren, falls Sie dies noch nicht getan haben.
Mozilla hat laut ZDNet einen Fehler behoben, der alle Firefox-Browser auf Android-Smartphones im selben Wi-Fi-Netzwerk entführen und Benutzer dazu zwingen könnte, zu bösartigen Websites zu navigieren .
Der Fehler wurde von Chris Moberly entdeckt, einem australischen Sicherheitsforscher, der für GitLab arbeitet.
Die eigentliche Schwachstelle liegt in der SSDP-Komponente von Firefox. SSDP steht für Simple Service Discovery Protocol und ist der Mechanismus, mit dem Firefox andere Geräte im selben Netzwerk findet, um Inhalte zu teilen oder zu empfangen (z. B. das Teilen von Videostreams mit einem Roku-Gerät).
Wenn Geräte erkannt werden, ruft die SSDP-Komponente von Firefox den Speicherort der XML-Datei ab, in der die Konfiguration des Geräts gespeichert ist.
Moberly entdeckte jedoch, dass es in älteren Firefox-Versionen möglich war, Android-„Intent”-Befehle in diesem XML-Code zu verstecken und den Browser zu zwingen, einen „Intent” auszuführen, der ein normaler Befehl sein könnte, wie etwa Firefox zu sagen, dass er auf einen Link zugreifen soll .
Beispiel für ein Betriebsszenario
Um besser zu verstehen, wie dieser Fehler ausgenutzt werden kann, stellen Sie sich ein Szenario vor, in dem ein Hacker einen Flughafen oder ein Einkaufszentrum betritt, sich mit einem Wi-Fi-Netzwerk verbindet und dann ein Skript auf seinem Laptop ausführt, das fehlerhafte SSDP -Pakete über das Netzwerk sendet .
Jeder Android-Besitzer, der während dieser Art von Angriff den Firefox-Browser verwendet, wird gezwungen, eine bösartige Website aufzurufen oder eine bösartige Erweiterung zu installieren.
Ein weiteres Szenario: Ein Angreifer zielt auf anfällige WLAN-Router ab. Hacker können mithilfe von Exploits veraltete Router kapern und dann das interne Netzwerk eines Unternehmens infiltrieren, um Mitarbeiter auf Phishing-Seiten umzuleiten und sie zu einer erneuten Authentifizierung zu zwingen.
Anfang dieser Woche veröffentlichte Moberly einen Code, mit dem solche Angriffe durchgeführt werden können. Unten sind zwei Videos, in denen Moberly und ein ESET-Sicherheitsforscher den Angriff demonstrieren.
Moberly sagte, er habe Mozilla Anfang des Sommers den Fehler gemeldet.
Der Fehler wurde in Firefox 79 behoben; Viele Benutzer verfügen jedoch möglicherweise nicht über die neueste Version. Firefox für Desktop war nicht betroffen.
Wir empfehlen Ihnen, Firefox für Android sofort auf die neueste Version zu aktualisieren, falls Sie dies noch nicht getan haben.