Wederom is er een zero-day lek in Firefox ontdekt, waardoor in het ergste geval een aanvaller toegang tot bestanden krijgt of willekeurige code kan uitvoeren. De Nederlandse beveiligingsonderzoeker Ronald van den Heetkamp was met de adresbalk aan het spelen toen hij ontdekt dat Firefox kwetsbaar is voor "null byte file type corruption."

Hiermee is het mogelijk om bestanden als een ander bestandstype uit te voeren, en Firefox dit te laten doen, zowel lokaal als remote. "Dit is vrij ernstig," aldus van den Heetkamp. Naast het uitvoeren van code kan het lek ook worden gebruikt voor het uitvoeren van een Denial of Service aanval, activeren van Trojaanse paarden en virussen, Reflective Cross Site Scripting (RXSS) en Cross Site Request Forgeries (CSRF).

Gisteren maakte de Poolse onderzoeker Michal Walewski verschillende kwetsbaarheden in Mozilla's browser bekend. Zo kan een aanvaller via Javascript kwaadaardige code injecteren om toetsaanslagen te monitoren of getoonde content op een website te vervalsen. Het andere probleem zorgt ervoor dat door het omzeilen van bevestigingsvensters, een aanvaller, zonder dat de gebruiker dit weet, bestanden kan downloaden en uitvoeren.

Update 10:20
Op de vraag of de Firefox beveiliging wel zo degelijk is, aangezien het lek spelenderwijs gevonden werd, laat van den Heetkamp tegenover Security.NL weten dat Firefox vrij veilig is, maar dit is iets wat ze gewoon over het hoofd hebben gezien, "en dus fataal."

De onderzoeker heeft, vanwege het gevaar op misbruik, bewust geen exploits online gezet. "Er zijn tal van manieren om dit te misbruiken. De link in mijn artikel is er een van een simpele: Denial Of service om de PoC te bewijzen." De exploit kan ook gebruikt worden door virusschrijvers om virusscanners te omzeilen en daarna "remote" virussen te activeren.