QuickTime reißt Löcher im Firefox auf

Quicktime Alternative

Heise schreibt, es würde dort gehen, im Original-Blog schreibt auch jemand dem sei so, aber es gibt auch einen Eintrag mit der gegenteiligen Behauptung. Ich würde eher davon ausgehen, dass QA auch verwundbar ist.

http://www.codecguide.com/qt_lite.htm
Diesbezüglich müsste man es erst testen.

Grundsätzlich dürfte es aber reichen das Plugin im Firefox zu deaktivieren. Die Filme kannst du ja runterziehen und lokal mit dem Player betrachten, dann ist der Fx nicht involviert.

Bugzilla-Eintrag mit weiteren Infos:
QuickTime flaw allows launching default browser with arbitrary parameters

QT Lite ist verwundbar, hab es gerade selbst erfolgreich in der VM getestet.

Beurger CERT -Service schreibt u.a. dazu:
"Da zur Behebung der Schwachstelle noch kein Patch veroeffentlicht
wurde, wird empfohlen,
- - JavaScript zu deaktivieren,
- - den QuickTime-Player voruebergehend zu deinstallieren,
- - im Webbrowser Mozilla Firefox das NoScript-Plugin zu installieren"

Hier der Link: https://addons.mozilla.org/de/firefox/addon/722

Zitat von boardraider

Grundsätzlich dürfte es aber reichen das Plugin im Firefox zu deaktivieren. Die Filme kannst du ja runterziehen und lokal mit dem Player betrachten, dann ist der Fx nicht involviert.

Das muss ich revidieren! Es spielt keine Rolle, ob der Firefox läuft oder das Quicktime-Plugin aktiviert ist. Auch der normale Player ist verwundbar. Also diesen Ratschlag vergessen.

Quicktime deinstallieren (oder verhindern, dass das Plugin oder der Player zum Einsatz kommen) ist vorläufig das einzig sinnvolle. NoScript greift nicht, wenn die Datei lokal ausgeführt wird! Alternativ wäre den Fx nicht als Standardbrowser im System zu verankern.

Zitat von Global Associate

Da ich NoScpript nicht installieren möchte

Moin, Moin "GA".
Meine Fragen an Dich: Warum nicht? Ergeben sich grosse Nachteile für den user?

NoScript schützt davor ohnehin nicht zwingend.

Zitat von boardraider

Das muss ich revidieren! Es spielt keine Rolle, ob der Firefox läuft oder das Quicktime-Plugin aktiviert ist. Auch der normale Player ist verwundbar. Also diesen Ratschlag vergessen.

Dann müsste der Fehler aber auch browserübergreifend auftreten, oder nicht?

Tut er auch, nur mit unterschiedlicher Wirkung. JavaScript hat keine Schreibrechte im System, daher juckt es bspw. Opera nicht, ob da Code an ihn gesendet wird. Mit dem chrome-Schalter vorn führt der Fx den folgenden Code aber mit chrome-Rechten aus und diese sind so weitreichend, dass dadurch Schaden verursacht werden kann. Da hilft eben auch NoScript nicht, da der Code schon ausgeführt wird, bevor NoScript eingreifen kann.

Wird bereits dran gearbeitet. Evtl. schon mit 2.0.0.7 gefixt (Anfang Oktober).

http://mozillalinks.org/wp/2007/09/upd…-vulnerability/

noch ist der patch nicht erschienen, und bis anfang oktober dauerts noch ein bisschen.

bin aber zuversichtlich dass "unser" mozilla das vor apple fixen wird.

Statt noScript und Deinstallation kann Firefox auch verboten werden, Quicktime zu öffnen.

Extra>Einstellungen>Inhalt>Dateitypen:Verwalten

Dort für alle Dateitypen, die mit Quicktime geöffnet werden, einen andere Mediaplayer eintragen.

Hat einer 'ne Ahnung, ob der bug auch Einfluss hat auf Songbird mit Erweiterung Quicktime-Playback?

Der bugfix

Zitat von cubefox

noch ist der patch nicht erschienen, und bis anfang oktober dauerts noch ein bisschen.

bin aber zuversichtlich dass "unser" mozilla das vor apple fixen wird.

Release kommt heute oder morgen raus

- Carsten