Firefox-Bug lässt Browser und PCs abstürzen

Auslöser ist ein speziell gestaltetes Skript, dass jede Millisekunde einen neuen Download anstößt. Unter Linux und macOS stürzt der Firefox-Prozess deswegen ab. Unter Windows friert unter Umständen sogar das gesamte Betriebssystem ein.

Der Sicherheitsforscher Sabri Haddouche, der schon vor kurzem einen Bug in der Rendering-Engine WebKit von Safari öffentlich gemacht hatte, hat einen weiteren Browserfehler entdeckt. Diesmal trifft es den Mozilla-Browser Firefox. Und erneut ist es möglich, nicht nur den Browser, sondern unter Umständen auch das gesamte System abstürzen zu lassen.

Betroffen ist Firefox 62.0.2 und früher für Windows, macOS und Linux, nicht jedoch die Mobilversion für Android. Unter macOS und Linux führt der Besuch einer speziell gestalteten Website dazu, dass der Browserprozess beendet wird. Firefox blendet daraufhin den Dialog des Mozilla Crash Reporter ein.

Unter Windows sind die Folgen möglicherweise gravierender. In Einzelfällen soll der Bug das gesamte Betriebssystem einfrieren lassen, sodass nur noch ein Reset oder das Kappen der Stromverbindung als Option verbleiben, um einen Neustart auszulösen.

Bei Tests von ZDNet.com ließ sich der Fehler mit dem jüngsten stabilen Release von Firefox sowie den Developer- und Nightly-Builds nachvollziehen. Außerdem stürzte Firefox für Android nicht ab. Die iOS-Version von Firefox ist übrigens nicht betroffen, weil der Browser auf iPhones und iPads nicht seine eigene Rendering-Engine nutzt.

Auslöser des Absturzes ist ein Script, dass der Forscher in eine Website integriert. „Was passiert ist, dass das Skript eine Datei mit einem sehr langen Dateinamen generieren und den Nutzer jede Millisekunde einmal auffordert, sie herunterzuladen“, erklärte Haddouche.

Auf GitHub findet sich der Code für eine HMTL-Seite, die das schädliche Skript enthält. Dem Forscher zufolge wurde Mozilla über den Fehler informiert. In Firefox-Bugtracker findet sich nun auch ein Fehlerbericht mit weiteren Details. Demnach kann Chrome problemlos mit dem fraglichen Skript umgehen: Der Google-Browser bittet Nutzer um ihre Zustimmung, bevor eine Website mehr als eine Datei herunterladen darf.