Mozilla hat eine Sicherheitslücke geschlossen, über die Angreifer anfällige Firefox für Android-Browser hätten entführen können, wenn diese auf Geräten im selben WLAN laufen. Die Schwachstelle hätte von Hackern missbraucht werden können, um Benutzer auf schädliche Websites zu leiten, wodurch Phishing-Angriffe oder der Download von Malware möglich geworden wäre.

Der Fehler im Simple Service Discovery Protocol (SSDP) von Firefox wurde von Sicherheitsforscher Chris Moberly aufgedeckt und betraf die Firefox für Android-Versionen 68.11.0 und niedriger.

Der ESET Malware-Forscher Lukas Stefanko hat einen Proof-of-Concept-Exploit (PoC), der die Sicherheitslücke ausnutzt, auf drei Geräten getestet, die mit demselben WLAN-Router verbunden sind:

"Dies ist ein ernstes Problem, das es ermöglicht, Android-Intents im selben Wi-Fi-Netzwerk ohne Benutzerinteraktionen auszulösen, wenn auf dem Gerät eine anfällige Version von Firefox für Android installiert ist", sagte Stefanko.

Er warnte davor, dass eine erfolgreiche Ausnutzung der Schwachstelle zu Phishing-Angriffen auf öffentliche Wi-Fi-Netzwerke führen könnte. Dazu könnten persönliche Benutzer- oder Anmeldeinformationen von allen Benutzern im Netzwerk angefordert werden, auf denen angreifbare Browser-Versionen laufen. "Es macht die Ausnutzung dieses Problems wirklich einfach", fügte er hinzu.

In einer Beschreibung des Problems auf seiner GitLab-Seite erklärte Moberly, dass anfällige Versionen des Firefox-Browsers routinemäßig SSDP-Erkennungsnachrichten senden und verbindbaren Zweit-Bildschirmen suchen, die auf Geräten im gleichen lokalen Netzwerk laufen (stellen Sie sich dies wie einen Service wie Chromecast, Roku oder ähnliches vor).

Geräte, die mit diesem lokalen Netzwerk verbunden sind, können auf diese gesendeten Nachrichten antworten und den Speicherort einer XML-Datei (eXtensible Markup Language) mit ihren Konfigurationsdetails weitergeben. Firefox versucht dann darauf zuzugreifen.

Dies ist jedoch der Moment, den Angreifer ausnutzen könnten. „Anstatt den Speicherort einer XML-Datei anzugeben, die ein UPnP-Gerät beschreibt, kann ein Angreifer einen böswilligen SSDP-Server ausführen, der mit einer speziell Nachricht reagiert, die auf eine Android-Intent-URI verweist. Dieser Intent wird dann von Firefox selbst aufgerufen “, erläuterte Moberly den Exploit und fügte hinzu, dass er die Sicherheitslücke an Mozilla gemeldet habe.

Der Fehler wurde mit der Veröffentlichung der Version 79 von Firefox für Android, der Nachfolgeversion von 68.11.0, behoben. Wenn Sie Firefox für Android nutzen, dann prüfen Sie welche Version sie haben und aktualisieren sie gegebenenfalls auf die neueste Version 79, oder besser noch 80.