Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 2 (20.03.18):
Für Oracle Linux 6 und 7 steht ein Sicherheitsupdate für Firefox ESR auf
Version 52.7.2 bereit, mit dem die Schwachstelle CVE-2018-5146 behoben
wird.
Version 1 (19.03.18):
Neues Advisory

Zwei Schwachstellen in Firefox, Firefox ESR sowie dem auf Firefox ESR
basierenden Tor Browser ermöglichen einem entfernten, nicht authentisierten
Angreifer die Ausführung beliebigen Programmcodes mit den Rechten des
Benutzers. Die Schwachstelle CVE-2018-5146 in libvorbis gilt für Firefox
Desktop-Clients. Die identische Schwachstelle CVE-2018-5147 (libtremor) gilt
dabei für Software auf ARM-Architekturen, wie etwa die Firefox App für
Android Geräte.

Der Hersteller stellt Mozilla Firefox 59.0.1 und Firefox ESR 52.7.2 zur
Behebung der Schwachstellen bereit. Auf Basis von Firefox ESR 52.7.2 wird
zeitgleich der Tor Browser 7.5.2 zur Verfügung gestellt. Die Schwachstellen
wurden im Rahmen des ‘Pwn2Own’-Contest auf der alljährlichen CanSecWest-
Konferenz entdeckt. Aufgrund des hohen Bekanntheitsgrads der Konferenz ist
davon auszugehen, dass die Schwachstellen zeitnah aktiv ausgenutzt werden.
Zur Verfügung stehende Sicherheitsupdates sollten daher umgehend installiert
werden.

Mehrere Linux-Distributionen haben bereits Sicherheitsupdates auf die neuen
Versionen von Firefox und Firefox ESR zur Verfügung gestellt. Die Updates
stehen damit unter anderem für Fedora 26 und 27 sowie Ubuntu 17.10, 16.04
LTS und 14.04 LTS (Firefox 59.0.1) beziehungsweise für openSUSE Leap 42.3,
Debian Jessie (oldstable) und Stretch (stable) und die aktuellen
Produktvarianten von Red Hat Enterprise Linux 6 und 7 (Firefox ESR 52.7.2)
zur Verfügung.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-0519]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html