UPDATE: DFN-CERT-2015-0445 Mozilla Firefox, Mozilla Thunderbird: Mehrere Schwachstellen ermöglichen u.a. das Ausführen beliebigen Programmcodes [Linux][Fedora][SuSE][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 4 (09.04.2015):
Für Fedora 22 steht ein Sicherheitsupdate auf Firefox 37.0.1 zur Behebung
der für Linux relevanten Schwachstellen im Status ‘testing’ bereit. Für
die Distributionen openSUSE 13.1 und openSUSE 13.2 stehen
Sicherheitsupdates auf Firefox 37.0.1, Thunderbird 31.6.0 und Mozilla NSPR
4.10.8 zur Verfügung. Die Firefox-Schwachstelle CVE-2015-0799, die erst in
Version 37.0.1 behoben ist, wurde aufgrund der beiden Updates in diese
Meldung aufgenommen.
Version 3 (06.04.2015):
Für Fedora 20 und Fedora 21 stehen Sicherheitsupdates für Firefox zur
Behebung der für Linux relevanten Schwachstellen im Status ‘stable’
bereit.
Version 2 (02.04.2015):
Canonical stellt für die Distributionen Ubuntu 14.10, Ubuntu 14.04 LTS und
Ubuntu 12.04 LTS Sicherheitsupdates für Firefox zur Behebung der für Linux
relevanten Schwachstellen bereit.
Version 1 (01.04.2015):
Neues Advisory

Betroffene Software:

Mozilla Firefox < 37 Mozilla Firefox < 37.0.1 Mozilla Firefox ESR < 31.6 Netscape Portable Runtime (NSPR) <= 4.10.7 Mozilla Thunderbird < 31.6 Betroffene Plattformen: Apple Mac OS X Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 14.04 Lts Canonical Ubuntu Linux 14.10 GNU/Linux Google Android Operating System Microsoft Windows openSUSE 13.1 openSUSE 13.2 Red Hat Fedora 20 Red Hat Fedora 21 Red Hat Fedora 22 Mehrere Schwachstellen in Mozilla Firefox vor Version 37.0 bzw. Firefox ESR vor Version 31.6 und Thunderbird vor Version 31.6 ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes, die Durchführung von Denial-of-Service- und Cross-Site-Request-Forgery-Angriffen sowie das Ausspähen von Informationen und Umgehen von Sicherheitsvorkehrungen. Die Schwachstellen CVE-2012-2808 und CVE-0800 betreffen nur Android, die Schwachstelle CVE-2015-0810 nur Mac OS X. Patch: Mozilla Foundation Security Advisory MFSA 2015-30 https://www.mozilla.org/en-US/security/advisories/mfsa2015-30/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-31

https://www.mozilla.org/en-US/security/advisories/mfsa2015-31/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-32

https://www.mozilla.org/en-US/security/advisories/mfsa2015-32/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-33

https://www.mozilla.org/en-US/security/advisories/mfsa2015-33/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-34

https://www.mozilla.org/en-US/security/advisories/mfsa2015-34/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-35

https://www.mozilla.org/en-US/security/advisories/mfsa2015-35/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-36

https://www.mozilla.org/en-US/security/advisories/mfsa2015-36/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-37

https://www.mozilla.org/en-US/security/advisories/mfsa2015-37/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-38

https://www.mozilla.org/en-US/security/advisories/mfsa2015-38/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-39

https://www.mozilla.org/en-US/security/advisories/mfsa2015-39/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-40

https://www.mozilla.org/en-US/security/advisories/mfsa2015-40/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-41

https://www.mozilla.org/en-US/security/advisories/mfsa2015-41/

Patch:

Mozilla Foundation Security Advisory MFSA 2015-42

https://www.mozilla.org/en-US/security/advisories/mfsa2015-42/

Patch:

Ubuntu Security Notice USN-2550-1

http://www.ubuntu.com/usn/usn-2550-1/

Patch:

Fedora Security Update FEDORA-2015-5365

https://admin.fedoraproject.org/updates/FEDORA-2015-5365/firefox-37.0-2.fc21

Patch:

Fedora Security Update FEDORA-2015-5396

https://admin.fedoraproject.org/updates/FEDORA-2015-5396/firefox-37.0-2.fc20

Patch:

Fedora Security Update FEDORA-2015-5694

https://admin.fedoraproject.org/updates/FEDORA-2015-5694/firefox-37.0.1-1.fc22

Patch:

openSUSE Security Update openSUSE-SU-2015:0677-1

http://lists.opensuse.org/opensuse-security-announce/2015-04/msg00003.html

CVE-2015-0799: Schwachstelle in Firefox in den HTTP Alternative Services
ermöglicht das Umgehen von Sicherheitsvorkehrungen

Die Implementierung der “HTTP Alternative Services” in Mozilla Firefox
enthält eine Schwachstelle, die die Verarbeitung von Alt-Svc-Headern
betrifft. Wenn Alt-Svc-Header in einer HTTP/2 Antwort spezifiziert werden,
besteht die Möglichkeit, dass die Überprüfung von SSL-Zertifikaten
bestimmter Server umgangen wird. Ein entfernter, nicht authentisierter
Angreifer kann die Schwachstelle zur Umgehung von Sicherheitsvorkehrungen
ausnutzen und in der Folge einen Man-in-the-Middle-Angriff durchführen.

CVE-2015-0814: Mehrere Speicherkorruptions-Schwachstellen in der Mozilla
Bowser Engine

In der Browser Engine, die von Mozilla Firefox vor Version 37.0 genutzt
wird, bestehen mehrere nicht näher spezifizierte
Speicherkorruptions-Schwachstellen. Ein entfernter, nicht authentifizierter
Angreifer kann diese für einen Denial-of-Service-Angriff nutzen oder um
beliebigen Programmcode zur Ausführung zu bringen.

CVE-2015-0812: Schwachstelle in Mozilla Firefox ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in Mozilla Firefox vor Version 37.0 bei der Installation
eines leichtgewichtigen (lightweight) Theme ermöglicht durch das Vortäuschen
einer Mozilla-Unterdomain, die Bestätigung des Benutzers für die
Installation zu umgehen. Dies ist möglich, weil die Installation von
leichtgewichtigen Themes keine HTTPS-Verbindung benötigt. Ein entfernter,
nicht authentifizierter Angreifer kann durch einen Man-in-the-Middle-Angriff
Sicherheitsvorkehrungen umgehen.

CVE-2015-0811: Schwachstelle in QCMS Bibliothek ermöglicht das Ausspähen von
Informationen

Eine Schwachstelle in der QCMS-Farb-Management Bibliothek von Mozilla
Firefox vor Version 37.0 führt bei der Transformation von Bildern zu einem
Lesen außerhalb der Speichergrenzen (out-of-bounds read). Ein entfernter,
nicht authentifizierter Angreifer kann Informationen ausspähen.

CVE-2015-0810: Clickjacking-Schwachstelle in Mozilla Firefox

Eine Schwachstelle in Mozilla Firefox vor Version 37.0 auf OS X bei der
Darstellung von Flash-Inhalten führt dazu, dass der Cursor unsichtbar wird.
Dadurch ist es möglich den Cursor durch ein Cursor-Bild zu ersetzen und
dieses durch JavaScript zu manipulieren. Ein entfernter, nicht
authentifizierter Angreifer kann beliebigen Programmcode mit Rechten des
Benutzers ausführen.

CVE-2015-0808: Schwachstelle in WebRTC ermöglicht Denial-of-Service-Angriff

Eine Schwachstelle in der ‘webrtc::VPMContentAnalysis::Release’-Funktion für
die Verwaltung von Simple-Typ-Arrays in WebRTC führt zu einem fehlerhaften
Speicher-Management. Ein entfernter, nicht authentifizierter Angreifer kann
einen Denial-of-Service-Angriff durchführen.

CVE-2015-0806: Schwachstelle in Mozilla Firefox ermöglicht das Ausführen
beliebigen Programmcodes

Es besteht eine Speicherkorruptions-Schwachstelle in Mozilla Firefox vor
Version 37.0 beim Rendering von 2D-Grafiken aufgrund von Problemen in der
‘Off Main Thread Compositing’ Implementierung. Ein entfernter, nicht
authentifizierter Angreifer kann darüber beliebigen Programmcode zur
Ausführung bringen oder einen Denial-of-Service-Zustand bewirken.

CVE-2015-0805: Schwachstelle in Mozilla Firefox ermöglicht das Ausführen
beliebigen Programmcodes

CVE-2015-0804: Schwachstelle in der Behandlung von Quellen-Elementen in
Firefox

Die ‘HTMLSourceElement::BindToTree’-Funktion in Mozilla Firefox vor Version
37.0 behandelt Datentypen beim Einbinden von Quellen fehlerhaft. Ein
entfernter, nicht authentifizierter Angreifer kann dies zum Bewirken eines
Denial-of-Service-Zustandes oder zum Ausführen beliebigen Programmcodes
nutzen.

CVE-2015-0803: Schwachstelle in der Behandlung von Quellen-Elementen in
Firefox

In der ‘HTMLSourceElement::AfterSetAttr’-Funktion in Mozilla Firefox vor
Version 37.0 erfolgt die Umwandlung von Objekttypen fehlerhaft. Ein
entfernter, nicht authentifizierter Angreifer kann dies zum Bewirken eines
Denial-of-Service-Zustandes oder zum Ausführen beliebigen Programmcodes
nutzen.

CVE-2015-0802: Schwachstelle in Window.webidl Zugriffskontrolle in Firefox

Mozilla Firefox vor Version 37.0 bezieht sich auf Docshell Typ Information
anstatt auf Page Principal Information für die Window.webidl
Zugriffskontrolle. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle zum Ausführen von JavaScript Code verwenden.

CVE-2015-0800: Schwachstelle in Android DNS-Auflösung ermöglicht das Umgehen
von Sicherheitsvorkehrungen

Die Pseudo-Random Number Generator (PRNG)-Implementierung im DNS Resolver in
Mozilla Firefox (aka Fennec) vor Version 37.0 auf Android erzeugt
Zufallszahlen für Anfrage ID-Werte und UDP Source Ports nicht korrekt. Ein
entfernter, nicht authentifizierter Angreifer kann dadurch leichter diese
Zufallszahlen erraten und DNS Antworten spoofen. Diese Schwachstelle steht
mit der Schwachstelle CVE-2012-2808 in Verbindung.

CVE-2012-2808: Schwachstelle in DNS-Auflösung ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Die Pseudo-Random Number Generator (PRNG)-Implementierung im DNS Resolver in
Bionic in Android vor Version 4.1.1 benutzt Zeit und PID-Informationen
fehlerhaft während der Generierung von Zufallszahlen für Anfrage ID-Werte
und UDP Source Ports. Ein entfernter, nicht authentifizierter Angreifer kann
dadurch leichter diese Zufallszahlen erraten und DNS Antworten spoofen.
Diese Schwachstelle steht mit der Schwachstelle CVE-2015-0800 in Verbindung.

CVE-2015-0816: Schwachstelle in Firefox und Thunderbird beim Laden von
Dokumenten über Resource URLs

Es existiert eine Schwachstelle in Mozilla Firefox und Thunderbird beim
Laden von Dokumenten über Resource URLs, wie es z.B. in Mozilla’s PDF.js
PDF File Viewer der Fall ist. Ein entfernter, nicht authentifizierter
Angreifer kann dies nutzen, um Sicherheitsvorkehrungen zu umgehen und
beliebigen Programmcode zur Ausführung bringen.

CVE-2015-0815: Mehrere Speicherkorruptions-Schwachstellen in der Mozilla
Bowser Engine

In der Browser Engine, die von Firefox und anderen Mozilla Anwendungen
genutzt wird, bestehen mehrere nicht näher spezifizierte
Speicherkorruptions-Schwachstellen. Ein entfernter, nicht authentifizierter
Angreifer kann diese für einen Denial-of-Service-Angriff nutzen oder um
beliebigen Programmcode zur Ausführung zu bringen.

CVE-2015-0813: Use-after-free-Schwachstelle in Fluendo MP3 GStreamer Plugin
ermöglicht Ausführen von Programmcode

Eine Benutzen-nach-Freigabe-Schwachstelle (use-after-free) bei der
Wiedergabe von MP3-Dateien unter Verwendung des Fluendo MP3 GStreamer
Plugins kann zu der Verwendung von Speicherobjekten führen, nachdem diese
freigegeben wurden. Die Schwachstelle besteht aufgrund der Interaktion des
Plugins mit Mozilla Code. Ein entfernter, nicht authentifizierter Angreifer
kann einen Denial-of-Service-Angriff durchführen oder eventuell beliebigen
Programmcode zur Ausführung bringen.

CVE-2015-0807: Schwachstelle in CORS ermöglicht
Cross-Site-Request-Forgery-Angriff

Es besteht eine Schwachstelle im Cross-Origin-Resource-Sharing (CORS) bei
der Behandlung von ‘sendBeacon’-Anfragen. Ein entfernter, nicht
authentifizierter Angreifer kann über eine manipulierte Webseite einen
Cross-Site-Request-Forgery-Angriff durchführen.

CVE-2015-0801: Schwachstelle in Firefox und Thunderbird erlaubt das Umgehen
der Same-Origin-Policy

Eine Schwachstelle in Mozilla Firefox und Thunderbird kann während der
‘Anchor’ Navigation (Navigation über Ankerpunkte) zum Umgehen der
Same-Origin-Policy genutzt werden. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstelle ausnutzen, um Sicherheitsvorkehrungen zu
umgehen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0445/

Mozilla Foundation Security Advisory MFSA 2015-30:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-30/

Mozilla Foundation Security Advisory MFSA 2015-31:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-31/

Mozilla Foundation Security Advisory MFSA 2015-32:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-32/

Mozilla Foundation Security Advisory MFSA 2015-33:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-33/

Mozilla Foundation Security Advisory MFSA 2015-34:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-34/

Mozilla Foundation Security Advisory MFSA 2015-35:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-35/

Mozilla Foundation Security Advisory MFSA 2015-36:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-36/

Mozilla Foundation Security Advisory MFSA 2015-37:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-37/

Mozilla Foundation Security Advisory MFSA 2015-38:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-38/

Mozilla Foundation Security Advisory MFSA 2015-39:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-39/

Mozilla Foundation Security Advisory MFSA 2015-40:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-40/

Mozilla Foundation Security Advisory MFSA 2015-41:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-41/

Mozilla Foundation Security Advisory MFSA 2015-42:
https://www.mozilla.org/en-US/security/advisories/mfsa2015-42/

Schwachstelle CVE-2012-2808 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-2808

Schwachstelle CVE-2015-0800 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0800

Schwachstelle CVE-2015-0801 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0801

Schwachstelle CVE-2015-0802 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0802

Schwachstelle CVE-2015-0803 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0803

Schwachstelle CVE-2015-0804 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0804

Schwachstelle CVE-2015-0805 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0805

Schwachstelle CVE-2015-0806 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0806

Schwachstelle CVE-2015-0807 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0807

Schwachstelle CVE-2015-0808 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0808

Schwachstelle CVE-2015-0810 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0810

Schwachstelle CVE-2015-0811 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0811

Schwachstelle CVE-2015-0812 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0812

Schwachstelle CVE-2015-0813 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0813

Schwachstelle CVE-2015-0814 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0814

Schwachstelle CVE-2015-0815 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0815

Schwachstelle CVE-2015-0816 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0816

Ubuntu Security Notice USN-2550-1:
http://www.ubuntu.com/usn/usn-2550-1/

Fedora Security Update FEDORA-2015-5365:
https://admin.fedoraproject.org/updates/FEDORA-2015-5365/firefox-37.0-2.fc21

Fedora Security Update FEDORA-2015-5396:
https://admin.fedoraproject.org/updates/FEDORA-2015-5396/firefox-37.0-2.fc20

Schwachstelle CVE-2015-0799 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0799

Fedora Security Update FEDORA-2015-5694:
https://admin.fedoraproject.org/updates/FEDORA-2015-5694/firefox-37.0.1-1.fc22

openSUSE Security Update openSUSE-SU-2015:0677-1:
http://lists.opensuse.org/opensuse-security-announce/2015-04/msg00003.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.