Chrome- und Firefox-Entwickler schließen gravierende Lücke Update

[Christoph]

Nahezu gleichzeitig sind neue Versionen der Browser von Mozilla und Google erschienen. Sie beheben einen Fehler, durch den es Angreifern möglich wurde, sichere Verbindungen mit anderen Websites vorzutäuschen.

Ein Fehler in der Sicherheitsbibliothek NSS (Network Security Services) ermöglicht es offenbar Angreifern, RSA-Zertifikate für SSL-Verbindungen zu fälschen. Damit könnte eine Website jede beliebige Identität vortäuschen, etwa die einer Bank. Google hat seinen Browser Chrome aktualisiert und Mozilla stellt korrigierte Versionen von Firefox, Thunderbird sowie weiteren Produkten bereit. [Update:] Apples Safari ist aufgrund der Verwendung einer eigenen Verschlüsselungsbibliothek (SecureTransport) offenbar nicht betroffen. [/Update] Bei den meisten Anwendern dürften sich die Browser selbsttätig aktualisieren. Wer diese Funktion deaktiviert hat, sollte das Update möglichst schnell selbst installieren.

Nach Auffassung der Sicherheitsfirma McAfee geht der Bug auf eine zu laxe Prüfung der RSA-Signatur zurück. Er stehe in Verbindung mit einem ähnlichen Fehler, den Daniel Bleichenbacher bereits 2006 entdeckt hatte. Adam Langley widersprach dieser Auffassung jedoch, ohne dies genauer zu begründen. Er arbeitet bei Google an der HTTPS-Infrastruktur und der Implementierung des Netzwerk-Codes von Chrome.

Unklar ist, ob auch die Open-Source-Bibliothek gnutls von dem Bug betroffen war. Ein Kommentar in der jüngst veröffentlichten Version 3.2.18 deutet auf einen Fehler im Zusammenhang mit der Prüfung von Zertifikatssignaturen hin. Angreifbar war möglicherweise auch die Bibliothek CyaSSL des US-Anbieters wolfSSL, die im Embedded-Bereich eingesetzt wird. Die wenige Tage alte Version 3.2.0 enthält eine Korrektur für eine Schwachstelle bei der RSA-Padding-Prüfung, die Intels Team "Advanced Threat Research" entdeckt wurde. Diese Gruppe nennen auch Google und Mozilla als Mit-Entdecker des jetzt behobenen Fehlers. (ck)

Quelle: http://www.heise.de/newsticker/meldu...e-2403406.html