—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes RedHat Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
Mozilla Thunderbird nutzt zur Darstellung von HTML-Inhalten die Mozilla
Browser Engine.
CVE-2011-0053 / CVE-2011-0062 – Schwachstellen in der Mozilla Browser
Engine
In der Mozilla Browser Engine sind mehrere Schwachstellen vorhanden, die
zu der Verletzung von Speicherstrukturen fuehren koennen. Ein entfernter
Angreifer kann diese Schwachstellen ausnutzen, um den Browser zum
Absturz zu bringen. Eventuell ist die Ausfuehrung beliebiger Befehle
moeglich.
CVE-2011-0061 – Buffer Overflow in der Mozilla Browser Engine bei der
Darstellung von JPEG-Bildern
Bei der Darstellung von JPEG-Bildern kann in der Mozilla Browser Engine
ein Buffer Overflow auftreten. Ein entfernter Angreifer kann diese
Schwachstelle ausnutzen, um den Browser zum Absturz zu bringen.
Eventuell ist die Ausfuehrung beliebiger Befehle moeglich.
CVE-2010-1585 – Schwachstelle in der Funktion ParanoidFragmentSink im
Mozilla Browser Engine
Die Funktion ParanoidFragmentSink dient dazu, potentiell unsichere
HTML-Seiten sicher darzustellen. Allerdings wird fehlerhafter Weise die
Ausfuehrung von Script-Inhalten in privilegierten chrome-Dokumenten
nicht verhindert. Zwar wird in Mozilla Produkten diese Funktion nicht in
einer unsicheren Weise verwendet, jedoch kann dies nicht fuer
unabhaengige Dritt-Anwendungen ausgeschlossen werden.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket thunderbird
Red Hat Enterprise Linux Desktop (v. 6) – i386, x86_64
Red Hat Enterprise Linux Server Optional (v. 6) – i386, ppc64, s390x,
x86_64
Red Hat Enterprise Linux Workstation (v. 6) – i386, x86_64
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Matthias Braeck
– —
Matthias Braeck (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn
– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
=====================================================================
Red Hat Security Advisory
Synopsis: Critical: thunderbird security update
Advisory ID: RHSA-2011:0311-01
Product: Red Hat Enterprise Linux
Advisory URL: https://rhn.redhat.com/errata/RHSA-2011-0311.html
Issue date: 2011-03-01
CVE Names: CVE-2010-1585 CVE-2011-0053 CVE-2011-0061
CVE-2011-0062
=====================================================================
1. Summary:
An updated thunderbird package that fixes several security issues is now
available for Red Hat Enterprise Linux 6.
The Red Hat Security Response Team has rated this update as having critical
security impact. Common Vulnerability Scoring System (CVSS) base scores,
which give detailed severity ratings, are available for each vulnerability
from the CVE links in the References section.
2. Relevant releases/architectures:
Red Hat Enterprise Linux Desktop (v. 6) – i386, x86_64
Red Hat Enterprise Linux Server Optional (v. 6) – i386, ppc64, s390x, x86_64
Red Hat Enterprise Linux Workstation (v. 6) – i386, x86_64
3. Description:
Mozilla Thunderbird is a standalone mail and newsgroup client.
Several flaws were found in the processing of malformed HTML content.
Malicious HTML content could cause Thunderbird to crash or, potentially,
execute arbitrary code with the privileges of the user running Thunderbird.
(CVE-2010-1585, CVE-2011-0053, CVE-2011-0062)
A flaw was found in the way Thunderbird handled malformed JPEG images. An
HTML mail message containing a malicious JPEG image could cause
Thunderbird to crash or, potentially, execute arbitrary code with the
privileges of the user running Thunderbird. (CVE-2011-0061)
All Thunderbird users should upgrade to this updated package, which
resolves these issues. All running instances of Thunderbird must be
restarted for the update to take effect.
4. Solution:
Before applying this update, make sure all previously-released errata
relevant to your system have been applied.
This update is available via the Red Hat Network. Details on how to
use the Red Hat Network to apply this update are available at
http://kbase.redhat.com/faq/docs/DOC-11259
5. Bugs fixed (http://bugzilla.redhat.com/):
675082 – CVE-2011-0053 Mozilla miscellaneous memory safety hazards (MFSA 2011-01)
675083 – CVE-2011-0062 Mozilla miscellaneous memory safety hazards (MFSA 2011-01)
675094 – CVE-2010-1585 Mozilla ParanoidFragmentSink allows javascript: URLs in chrome documents (MFSA 2011-08)
675095 – CVE-2011-0061 Mozilla crash caused by corrupted JPEG image (MFSA 2011-09)
6. Package List:
Red Hat Enterprise Linux Desktop (v. 6):
Source:
ftp://ftp.redhat.com/pub/redhat/linux/enterprise/6Client/en/os/SRPMS/thunderbird-3.1.8-4.el6_0.src.rpm
i386:
thunderbird-3.1.8-4.el6_0.i686.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.i686.rpm
x86_64:
thunderbird-3.1.8-4.el6_0.x86_64.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.x86_64.rpm
Red Hat Enterprise Linux Server Optional (v. 6):
Source:
ftp://ftp.redhat.com/pub/redhat/linux/enterprise/6Server/en/os/SRPMS/thunderbird-3.1.8-4.el6_0.src.rpm
i386:
thunderbird-3.1.8-4.el6_0.i686.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.i686.rpm
ppc64:
thunderbird-3.1.8-4.el6_0.ppc64.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.ppc64.rpm
s390x:
thunderbird-3.1.8-4.el6_0.s390x.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.s390x.rpm
x86_64:
thunderbird-3.1.8-4.el6_0.x86_64.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.x86_64.rpm
Red Hat Enterprise Linux Workstation (v. 6):
Source:
ftp://ftp.redhat.com/pub/redhat/linux/enterprise/6Workstation/en/os/SRPMS/thunderbird-3.1.8-4.el6_0.src.rpm
i386:
thunderbird-3.1.8-4.el6_0.i686.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.i686.rpm
x86_64:
thunderbird-3.1.8-4.el6_0.x86_64.rpm
thunderbird-debuginfo-3.1.8-4.el6_0.x86_64.rpm
These packages are GPG signed by Red Hat for security. Our key and
details on how to verify the signature are available from
https://access.redhat.com/security/team/key/#package
7. References:
https://www.redhat.com/security/data/cve/CVE-2010-1585.html
https://www.redhat.com/security/data/cve/CVE-2011-0053.html
https://www.redhat.com/security/data/cve/CVE-2011-0061.html
https://www.redhat.com/security/data/cve/CVE-2011-0062.html
https://access.redhat.com/security/updates/classification/#critical
8. Contact:
The Red Hat security contact is
details at https://www.redhat.com/security/team/contact/
Copyright 2011 Red Hat, Inc.
– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.4 (GNU/Linux)
iD8DBQFNbZ8UXlSAg2UNWIIRAjJnAKCDgMOsTPaWpKgqS+3Tkh0oxUa5kgCcDpPj
2qEGCas7kyiUSeXSz+xLKng=
=LOmS
– —–END PGP SIGNATURE—–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.9 (GNU/Linux)
iQEcBAEBAgAGBQJNbmdMAAoJEJtyb8U7iGZBBKAH/2M+R5Mg6th7DzqXjuhDKpFP
cBId/OFTA+aqAh22eUadKK4TIsjb2ln4EipVmWaEoAPS02pZoz4l/jEeroIYkok0
0aPuBxtCKegVTmljYNFZ+5inyqULSpcluMlI2KhnQizuxt+vmzJFE03FV0Y5bAfe
htl+WILNTq7RZOb82AI0v0W55MGfkOuDvhrSWeyHG8aZ88mnBrig8gbd7AzMbLsj
Lwdvry1sKAPv5vOEPCEJC2pD7vgf718CMEQZs9bjwbXDbA5nXRDLJBX8PGTap5+B
vBvKpNJjyEj79eVwetj8EsbF0y+9gAGsn55fI4/cNf+TB6u6JcV86zJ95qK2lzI=
=oOTk
—–END PGP SIGNATURE—–
