Sicherheitsloch im Passwort-Manager von Firefox 2.0

Eine Lücke im Passwortverwaltungs-Tool von Firefox ermöglicht es Hackern, an sensible Informationen von Nutzern heranzukommen.

Der Passwort-Manager trägt auf Wunsch des Nutzers automatisch in Online-Formulare auf Web-Seiten User-Namen und Passwörter ein.

Das ist an sich nicht schädlich, vereinfacht es doch die Anmeldeprozedur bei geschützten Web-Seiten. Allerdings prüft der Passwort-Manager zuvor nicht, ob es sich um eine vertrauenswürdige URL handelt.

Ein Angreifer kann somit mithilfe einer präparierten Web-Seite Firefox dazu veranlassen, Anmeldeinformationen herauszugeben.

Ein Patch für die Lücke ist derzeit nicht verfügbar. Nutzer von Firefox sollten deshalb beim Einsatz des Passwort-Managers Vorsicht walten lassen oder ihn gar nicht einsetzen.

Das »French Security Incident Response Team« (Frist), das den Bug entdeckt hat, empfiehlt, den Passwort-Manager solange nicht mehr zu verwenden, bis die Schwachstelle ausgemerzt wurde.

Allerdings stuft Frist die Gefahr durch den Bug als »niedrig«(»low risk«) ein.

Details zur Sicherheitslücke in Firefox 2.0