Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (25.04.2016):
Für die Distributionen Fedora 22, 23 und 24 stehen Sicherheitsupdates für
Mozilla Thunderbird auf Version 45.0 zur Verfügung. Das Sicherheitsupdate
für Fedora 23 befindet sich im Status ‘stable’, die anderen
Sicherheitsupdates haben den Status ‘testing’.
Version 1 (19.04.2016):
Neues Advisory
Betroffene Software:
Mozilla Thunderbird < 45 Betroffene Plattformen: Apple Mac OS X GNU/Linux Microsoft Windows Red Hat Fedora 22 Red Hat Fedora 23 Red Hat Fedora 24 Mehrere Schwachstellen in Mozilla Thunderbird ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes auch mit Benutzerrechten, verschiedene Denial-of-Service-Angriffe, die Manipulation von Dateien und in der Folge eine Privilegieneskalation sowie das Ausspähen von Informationen. Mozilla informiert mit Updates auf die Mozilla Foundation Security Advisories 2016-16, 2016-17, 2016-18, 2016-19, 2016-20, 2016-23, 2016-24, 2016-27, 2016-34, 2016-35, 2016-36 und 2016-37 darüber, dass die Programmversion Mozilla Thunderbird 45 veröffentlicht wurde, die verschiedene Schwachstellen aus Mozilla Thunderbird, Mozilla Firefox und Mozilla Network Security Services (NSS) behebt. Die Schwachstellen CVE-2016-1954, CVE-2016-1955, CVE-2016-1956, CVE-2016-1957, CVE-2016-1960, CVE-2016-1961, CVE-2016-1974 und CVE-2016-1976 können nicht per Email ausgenutzt werden, stellen aber ein Sicherheitsrisiko in Browsern und einem Browser ähnlichen Umgebungen dar. Patch: Mozilla Thunderbird Update Seite https://www.mozilla.org/de/thunderbird
Patch:
Mozilla Foundation Security Advisory 2016-16
https://www.mozilla.org/en-US/security/advisories/mfsa2016-16/
Patch:
Mozilla Foundation Security Advisory 2016-17
https://www.mozilla.org/en-US/security/advisories/mfsa2016-17/
Patch:
Mozilla Foundation Security Advisory 2016-18
https://www.mozilla.org/en-US/security/advisories/mfsa2016-18/
Patch:
Mozilla Foundation Security Advisory 2016-19
https://www.mozilla.org/en-US/security/advisories/mfsa2016-19/
Patch:
Mozilla Foundation Security Advisory 2016-20
https://www.mozilla.org/en-US/security/advisories/mfsa2016-20/
Patch:
Mozilla Foundation Security Advisory 2016-23
https://www.mozilla.org/en-US/security/advisories/mfsa2016-23/
Patch:
Mozilla Foundation Security Advisory 2016-24
https://www.mozilla.org/en-US/security/advisories/mfsa2016-24/
Patch:
Mozilla Foundation Security Advisory 2016-27
https://www.mozilla.org/en-US/security/advisories/mfsa2016-27/
Patch:
Mozilla Foundation Security Advisory 2016-34
https://www.mozilla.org/en-US/security/advisories/mfsa2016-34/
Patch:
Mozilla Foundation Security Advisory 2016-35
https://www.mozilla.org/en-US/security/advisories/mfsa2016-35/
Patch:
Mozilla Foundation Security Advisory 2016-36
https://www.mozilla.org/en-US/security/advisories/mfsa2016-36/
Patch:
Mozilla Foundation Security Advisory 2016-37
https://www.mozilla.org/en-US/security/advisories/mfsa2016-37/
Patch:
Mozilla Thunderbird 45 – Known Vulnerabilities
https://www.mozilla.org/en-US/security/known-vulnerabilities/thunderbird/#thunderbird45
Patch:
Fedora Security Update FEDORA-2016-92e9f47c04 (Fedora 24, Thunderbird 45.0)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-92e9f47c04
Patch:
Fedora Security Update FEDORA-2016-c1bad2b755 (Fedora 22, Thunderbird 45.0)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-c1bad2b755
Patch:
Fedora Security Update FEDORA-2016-d5c26081f3 (Fedora 23, Thunderbird 45.0)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-d5c26081f3
CVE-2016-2796 CVE-2016-2797 CVE-2016-2798 CVE-2016-2799 CVE-2016-2800
CVE-2016-2801 CVE-2016-2802: Schwachstellen in Graphite2 ermöglichen
Ausführung beliebigen Programmcodes
Aufgrund mehrerer Schwachstellen in Graphite2 kann es bei der Verarbeitung
von Schriftarten zur Speicherkorruption kommen. Ein entfernter, nicht
authentifizierter Angreifer kann dadurch möglicherweise beliebigen
Programmcode ausführen und einen Denial-of-Service-Zustand (DoS-Zustand)
erzeugen.
CVE-2016-1979: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
In den von Mozilla Firefox genutzten Network Security Services (NSS)
Bibliotheken kann es bei der Verarbeitung von DER-kodierten Schlüsseln zu
einem Speicherfehler (Use-after-Free) kommen. Ein entfernter, nicht
authentisierter Angreifer kann einen Absturz herbeiführen
(Denial-of-Service) oder beliebigen Programmcode ausführen.
CVE-2016-1977 CVE-2016-2790 CVE-2016-2791 CVE-2016-2792 CVE-2016-2793
CVE-2016-2794 CVE-2016-2795: Schwachstellen in Graphite2 ermöglichen
Ausführung beliebigen Programmcodes
Aufgrund mehrerer Schwachstellen in Graphite2 kann es bei der Verarbeitung
von Schriftarten zur Speicherkorruption kommen. Ein entfernter, nicht
authentifizierter Angreifer kann dadurch möglicherweise beliebigen
Programmcode ausführen und einen Denial-of-Service-Zustand (DoS-Zustand)
erzeugen.
CVE-2016-1974: Schwachstelle in Mozilla Firefox ermöglicht
Denial-of-Service-Angriff
In Mozilla Firefox und Mozilla Firefox ESR kann es nach einer fehlerhaften
Speicherallokation durch die Verarbeitung von Unicode-Zeichen im HTML Parser
zum Lesezugriff auf Speicher außerhalb des zugewiesenen Speicherbereichs
kommen. Ein entfernter, nicht authentifizierter Angreifer kann so einen
Denial-of-Service-Angriff (DoS-Angriff) durchführen und möglicherweise
Informationen ausspähen.
CVE-2016-1964: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
In Mozilla Firefox und Mozilla Firefox ESR können XML Transformationen zu
einem Fehler in der Speicherverwaltung (Use-after-Free) führen. Ein
entfernter, nicht authentisierter Angreifer kann einen Absturz herbeiführen
(Denial-of-Service) oder beliebigen Programmcode ausführen.
CVE-2016-1961: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
In Mozilla Firefox und Mozilla Firefox ESR kann es unter nicht näher
beschriebenen Umständen in der Funktion SetBody von HTMLDocument zu einem
Fehler in der Speicherverwaltung (Use-after-Free) kommen. Ein entfernter,
nicht authentisierter Angreifer kann einen Absturz herbeiführen
(Denial-of-Service) oder beliebigen Programmcode ausführen.
CVE-2016-1960: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
In Mozilla Firefox und Mozilla Firefox ESR kann das Parsen einer bestimmten
Menge von Tabellen-bezogenen Tags zu einem Fehler in der Speicherverwaltung
(Use-after-Free) im HTML5-Parser führen. Ein entfernter, nicht
authentisierter Angreifer kann einen Absturz herbeiführen
(Denial-of-Service) oder beliebigen Programmcode ausführen.
CVE-2016-1957: Schwachstelle in Mozilla Firefox ermöglicht
Denial-of-Service-Angriff
In der von Mozilla Firefox und Mozilla Firefox ESR genutzten Bibliothek
libstagefright kann es bei der Verarbeitung von MPEG4 Videos zu einem
Speicherleck kommen. Ein entfernter, nicht authentisierter Angreifer kann
einen Denial-of-Service-Angriff durchführen.
CVE-2016-1956: Schwachstelle in Mozilla Firefox ermöglicht
Denial-of-Service-Angriff
Bestimmte WebGL-Operationen von Mozilla Firefox in einem Canvas benötigen
einen ungewöhnlich großen Puffer des Video-Speichers, wodurch der Speicher
auf einigen Intel Grafikkarten vollständig erschöpft wird. Dieser Zustand
kann nur durch den Neustart des Systems behoben werden. Ein entfernter,
nicht authentisierter Angreifer kann einen vollständigen
Denial-of-Service-Zustand herbeiführen.
CVE-2016-1955: Schwachstelle in Mozilla Firefox ermöglicht Ausspähen von
Informationen
Die Content Security Policy (CSP) Verletzungsberichte von Mozilla Firefox
enthalten den vollständigen Pfad bei Cross-Origin iframe-Besuchen, wodurch
die CSP Spezifikation verletzt wird und sensible Informationen offengelegt
werden. Ein entfernter, nicht authentisierter Angreifer kann Informationen
ausspähen.
CVE-2016-1954: Schwachstelle in Mozilla Firefox ermöglicht Manipulation von
Dateien
Die Content Security Policy (CSP) Verletzungsberichte von Mozilla Firefox
und Mozilla Firefox ESR können von einer schädlichen Seite benutzt werden,
um Dateien auf dem System eines Benutzers zu überschreiben. Der Dateiinhalt
ist dabei auf das JSON Format des Berichts beschränkt. In vielen Fällen ist
das Überschreiben einer Datei nur zerstörerisch, da die Datei ihre Funktion
verliert. Die CSP Fehlerberichte können HTML-Fragmente enthalten, die von
Browsern dargestellt werden könnten. Falls ein Benutzer die Signaturen von
Add-Ons ausgeschaltet und ein unkomprimiertes Add-On installiert hat, könnte
die schädliche Seite Ressourcen des Add-Ons überschreiben, woraus
möglicherweise eine Privilegieneskalation resultieren könnte. Ein
entfernter, nicht authentisierter Angreifer kann Dateien manipulieren.
CVE-2016-1953: Schwachstellen in Mozilla Firefox ermöglichen Ausführen
beliebigen Programmcodes
Es existieren mehrere nicht näher spezifizierte Schwachstellen in Mozilla
Firefox aufgrund von Sicherheitsmängeln in der Speicherverwaltung der
Browser Engine. Dadurch kann unter bestimmten Umständen der Speicher
korrumpiert werden, wodurch ein entfernter, nicht authentifizierter
Angreifer in der Lage ist, beliebigen Programmcode zur Ausführung zu
bringen.
CVE-2016-1952: Schwachstellen in Mozilla Firefox ermöglichen Ausführen
beliebigen Programmcodes
Es existieren mehrere nicht näher spezifizierte Schwachstellen in Mozilla
Firefox und Mozilla Firefox ESR aufgrund von Sicherheitsmängeln in der
Speicherverwaltung der Browser Engine. Dadurch kann unter bestimmten
Umständen der Speicher korrumpiert werden, wodurch ein entfernter, nicht
authentifizierter Angreifer in der Lage ist, beliebigen Programmcode zur
Ausführung zu bringen.
CVE-2016-1950: Schwachstelle in NSS / Security ermöglicht Ausführen
beliebigen Programmcodes mit Benutzerrechten
In den von Mozilla Firefox und Mozilla Firefox ESR genutzten Network
Security Services (NSS) Bibliotheken sowie der Komponente Security in Apple
vor Version iOS 9.3 und Mac OS X El Capitan vor Version 10.11.4 kann es beim
Parsen bestimmter ASN.1 Strukturen zu einem Heap-basierten Speicherüberlauf
kommen. Ein entfernter, nicht authentisierter Angreifer kann mittels eines
speziell präparierten Zertifikats einen Absturz herbeiführen
(Denial-of-Service) oder beliebigen Programmcode mit Benutzerrechten
ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0633/
Mozilla Thunderbird Update Seite:
https://www.mozilla.org/de/thunderbird
Mozilla Foundation Security Advisory 2016-16:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-16/
Mozilla Foundation Security Advisory 2016-17:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-17/
Mozilla Foundation Security Advisory 2016-18:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-18/
Mozilla Foundation Security Advisory 2016-19:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-19/
Mozilla Foundation Security Advisory 2016-20:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-20/
Mozilla Foundation Security Advisory 2016-23:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-23/
Mozilla Foundation Security Advisory 2016-24:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-24/
Mozilla Foundation Security Advisory 2016-27:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-27/
Mozilla Foundation Security Advisory 2016-34:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-34/
Mozilla Foundation Security Advisory 2016-35:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-35/
Mozilla Foundation Security Advisory 2016-36:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-36/
Mozilla Foundation Security Advisory 2016-37:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-37/
Schwachstelle CVE-2016-1950 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1950
Schwachstelle CVE-2016-1952 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1952
Schwachstelle CVE-2016-1953 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1953
Schwachstelle CVE-2016-1954 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1954
Schwachstelle CVE-2016-1955 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1955
Schwachstelle CVE-2016-1956 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1956
Schwachstelle CVE-2016-1957 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1957
Schwachstelle CVE-2016-1960 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1960
Schwachstelle CVE-2016-1961 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1961
Schwachstelle CVE-2016-1964 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1964
Schwachstelle CVE-2016-1974 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1974
Schwachstelle CVE-2016-1977 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1977
Schwachstelle CVE-2016-1979 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1979
Schwachstelle CVE-2016-2790 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2790
Schwachstelle CVE-2016-2791 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2791
Schwachstelle CVE-2016-2792 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2792
Schwachstelle CVE-2016-2793 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2793
Schwachstelle CVE-2016-2794 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2794
Schwachstelle CVE-2016-2795 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2795
Schwachstelle CVE-2016-2796 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2796
Schwachstelle CVE-2016-2797 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2797
Schwachstelle CVE-2016-2798 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2798
Schwachstelle CVE-2016-2799 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2799
Schwachstelle CVE-2016-2800 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2800
Schwachstelle CVE-2016-2801 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2801
Schwachstelle CVE-2016-2802 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2802
Mozilla Thunderbird 45 – Known Vulnerabilities:
https://www.mozilla.org/en-US/security/known-vulnerabilities/thunderbird/#thunderbird45
Fedora Security Update FEDORA-2016-92e9f47c04 (Fedora 24, Thunderbird 45.0):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-92e9f47c04
Fedora Security Update FEDORA-2016-c1bad2b755 (Fedora 22, Thunderbird 45.0):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-c1bad2b755
Fedora Security Update FEDORA-2016-d5c26081f3 (Fedora 23, Thunderbird 45.0):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-d5c26081f3
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
