WPF Plugin - Microsoft installiert heimlich Sicherheitslücke in Firefox

Vor kurzer Zeit beschwerte sich Microsoft noch, dass Google ein Plugin (Google Frame) in den Internet Explorer installieren wollte. Nun scheint sich die heimliche Installation von Microsofts WPF-Plugin in Firefox zu rächen, da eine Sicherheitslücke dafür aufgetaucht ist.

Als Google das Plugin Frame für Internet Explorer installieren wollte, beschwerte sich Microsoft, dass dies eine potentielle, neue Angriffsfläche für Bösewichte biete. Auf der anderen Seite scheint es in Ordnung zu sein, wenn man selbst heimlich Mozillas Firefox ein Plugin unterschiebt. Windows Presentation Foundation erlaubt es das Einbetten von XAML-Applikationen.

Früher in diesem Jahr zog Microsoft den Ärger auf sich, da sich das Plugin „.NET Framework Assistant“ nicht nur heimlich als Plugin in Firefox installierte, sondern auch nicht mehr deinstallieren ließ. Nach einigem Druck aus der Öffentlichkeit, gab es später ein Update, der dieses Problem behob. Dieses Update machte allerdings einige andere Firefox-Plugins unbrauchbar.

Das Schlimmste an der Sache ist jedoch, dass eine Sicherheitslücke für das Microsoft-Plugin aufgetaucht ist. Die Schwachstelle lässt sich ausnutzen, indem Anwender speziell präparierte Seiten im Internet besuchen. Derzeit gibt es kein Sicherheits-Update. Somit sollten alle Firefox-Anwender das ungewollte Add-On deaktivieren, sofern es installiert ist.

Die Sicherheitslücke MS09-054 wurde auf der Black-Hat-Konferenz im Juli publik gemacht und betrifft eigentlich den Internet Explorer. Allerdings bietet Firefox ebenfalls eine Angriffsfläche, wenn das .NET Framework 3.5 SP1 installiert ist.


(jdo - tecchannel.de)