Op een website waar exploits en beveiligingslekken worden aangeboden is een exploit verschenen voor een onbekend beveiligingslek in Firefox voor Android. Via de exploit zou een aanvaller een kwaadaardige applicatie kunnen installeren, hoewel er enkele vereisten zijn.

Zo moet de gebruiker de installatie van onbekende bronnen toestaan, iets wat standaard niet het geval is. Om het lek te misbruiken moet een aanvaller het slachtoffer naar een kwaadaardige website zien te lokken. De website kan ervoor zorgen dat er opeens een melding verschijnt dat er een Firefox-update gereed staat. Zodra de gebruiker deze zogenaamde update downloadt, wordt die automatisch geïnstalleerd. Het gaat hier echter niet om een update, maar een kwaadaardige app.

Automatische installatie

"Het grootste probleem in deze situatie is dat Firefox automatisch bepaalde bestanden uitvoert zodra ze zijn gedownload en gebruikers geen optie geeft dit uit te schakelen", zegt Joshua Cannell van Malwarebytes. "Zonder waarschuwing hebben gebruikers geen idee dat er een externe app is uitgevoerd."

Volgens Cannell moet Mozilla aanpassingen aan de mobiele Firefox browser doorvoeren om die veiliger te maken. "Als je op dit moment Firefox voor Android gebruikt, adviseren we je om op een alternatief over te stappen totdat Mozilla het probleem patcht en gebruikers de mogelijkheid geeft om het automatisch uitvoeren uit te schakelen."

Ondanks de 375.000 stemmen en tussen de 10 tot 50 miljoen downloads op Google Play, blijkt uit cijfers van Net Applications dat het marktaandeel van Firefox voor Android zo klein is dat het niet in de statistieken terugkomt.