Software::Browser
Sicherheitsaudit des Firefox-Update-Mechanismus
Mozilla hat den Update-Mechanismus von Firefox einem externen Audit unterzogen und jetzt die Ergebnisse veröffentlicht.
Mozilla
Mozilla hatte Anfang des Jahres das Sicherheitsunternehmen
X41 D-Sec mit einem Audit der Sicherheit beim Update-Mechanismus von Firefox beauftragt. Der Dienst, der intern »Application Update Service« (AUS) heißt, teilt sich grob in den Backend-Dienst (Balrog), der die Updates verwaltet und den Client-Code, der im installierten Browser für die Aktualisierung zuständig ist.
Vier Forscher verbrachten insgesamt 27 Tage mit einer technischen Sicherheitsüberprüfung der involvierten Komponenten. Der Umfang des Audits umfasste eine kryptographische Überprüfung des Update-Signier-Protokolls, Fuzzing des Client-Codes, Pen-Testing des Backends und manuelle Code-Überprüfung aller Komponenten. Kritische Fehler wurden dabei keine gefunden.
Drei Sicherheitslücken wurden in ihrer Gefahrenstufe als »hoch« eingestuft, und alle befanden sich in der Verwaltungskonsole der serverseitigen Komponente Balrog, die von Firefox und anderen Mozilla-Produkten benutzt wird. Unter den aufgefundenen Lücken befand sich eine Cross-Site-Request-Forgery-Lücke (CSRF) in der Administrations-Schnittstelle, die es Angreifern unter bestimmten Bedingungen ermöglicht hätte, administrative Aktionen auszulösen.
Andere identifizierte Schwachstellen waren mögliche Speicher-Korruption sowie Stabilitätsprobleme. Die meisten dieser Probleme wurden laut x41 dadurch eingeschränkt, dass kryptografische Signaturen umgangen werden mussten. X41 hat zudem im C-Code, der Update-Dateien verarbeitet, einige Fehler gefunden. Einige der gefundenen Lücken wurden mittlerweile geschlossen, die Beseitigung der noch offenen Lücken kann im Bugtracker verfolgt werden. Der vollständige Report über den Audit durch X41, der 69 Seiten umfasst, wurde jetzt veröffentlicht. Insgesamt befand X41 das Sicherheitsniveau des AUS für gut.
){kind=logo}
