Ungeflickte Sicherheitslücke in Google Chrome

Auslöser der Sicherheitslücke ist ein Fehler in Network Security Services (NSS 3.x). Ursache ist die Funktion NSS_NoDB_Init(), die einen Pfad für die Konfigurations-Datei pkcs11.txt nicht korrekt konstruiert. Mittels der "Library"-Anweisung könnte sich ein beliebiges Sicherheits-Modul von einer WebDAV- oder SMB-Freigabe laden lassen. Ein erfolgreicher Angriff ermöglicht das Ausführen beliebigen Codes.

Der Fehler ist für Version 14.0.835.186 bestätigt. Andere Ausgaben könnten ebenfalls betroffen sein: code.google.com. Für NSS 3.x gibt es noch kein Update, allerdings ist das Problem im CVS-Repository geschlossen.

Laut eines Bugzilla-Eintrags bei Mozilla scheint das Problem auch Firefox-Ausgaben zu betreffen: bugzilla.mozilla.org (jdo)