—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgende Warnung des Debian-Teams. Wir geben
diese Informationen unveraendert an Sie weiter.

Icedove verwendet die Mozilla Browser-Engine zum Rendern von
HTML-/Skript-Inhalten.

CVE-2011-3648 – Cross-site Scripting Schwachstelle in der Mozilla
Browser-Engine

Die Mozilla Browser-Engine behandelt ungueltige Sequenzen im Shift-JIS
Encoding auf unsichere Weise. Falls ein ungueltiges Paar von Zeichen
auftritt, wird die gesamte zwei Byte Sequenz in ein einzelnes,
unbekanntes Zeichen umgewandelt. Ein entfernter Angreifer kann dies
nutzen, um mittels einer praeparierten Webseite oder HTML-Email
beliebige JavaScript-Befehle mit den Rechten einer anderen, ggf. als
vertrauenswuerdig eingestuften Webseite auszufuehren.

CVE-2011-3650 – Schwachstelle in der Mozilla Browser-Engine

Beim Verarbeiten von umfangreichen JavaScript-Code mit vielen Funktionen
besteht eine Schwachstelle in der Mozilla Browser-Engine. Diese erlaubt
entfernten Angreifern durch praeparierten Skript-Code die Anwendung zum
Absturz zu bringen (Denial of Service) oder schlimmstenfalls beliebige
Befehle mit den Privilegien des Benutzers der Anwendung zur Ausfuehrung
bringen.

CVE-2011-3647 – Schwachstelle in der Mozilla Browser-Engine

Die Mozilla Browser-Engine behandelt bestimmte Add-Ons auf eine
unsichere Weise. So koennen Add-Ons, welche die Funktion loadSubScript()
verwenden, durch praeparierte Inhalte (Webseiten, HTML-Emails) zum
Entfernen des sog. XPCNativeWrappers gebracht werden. Dies erlaubt
entfernten Angreifern mit entsprechend praeparierten Inhalten einem
Add-On zu hoeheren Privilegien zu verhelfen und somit schlimmstenfalls
beliebige Befehle im Kontext des Benutzers der Anwendung zur Ausfuehrung
bringen.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket icedove in Debian GNU/Linux 6.0 (squeeze) vor Version
3.0.11-1+squeeze6
Paket icedove in Debian GNU/Linux 7.0 (wheezy) vor Version 3.1.15-1
Paket icedove in Debian GNU/Linux unstable (sid) vor Version 3.1.15-1

Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux 7.0 (wheezy)
Debian GNU/Linux unstable (sid)

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Matthias Braeck

– —
Matthias Braeck, B.Sc. (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn

– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

– – ————————————————————————-
Debian Security Advisory DSA-2345-1 security@debian.org
http://www.debian.org/security/ Florian Weimer
November 11, 2011 http://www.debian.org/security/faq
– – ————————————————————————-

Package : icedove
Vulnerability : several
Problem type : local (remote)
Debian-specific: no
CVE ID : CVE-2011-3647 CVE-2011-3648 CVE-2011-3650

Several vulnerabilities have been discovered in Icedove, a mail client
based on Thunderbird.

CVE-2011-3647
The JSSubScriptLoader does not properly handle
XPCNativeWrappers during calls to the loadSubScript method in
an add-on, which makes it easier for remote attackers to gain
privileges via a crafted web site that leverages certain
unwrapping behavior.

CVE-2011-3648
A cross-site scripting (XSS) vulnerability allows remote
attackers to inject arbitrary web script or HTML via crafted
text with Shift JIS encoding.

CVE-2011-3650
Iceweasel does not properly handle JavaScript files that
contain many functions, which allows user-assisted remote
attackers to cause a denial of service (memory corruption and
application crash) or possibly have unspecified other impact
via a crafted file that is accessed by debugging APIs, as
demonstrated by Firebug.

For the stable distribution (squeeze), these problems have been fixed
in version 3.0.11-1+squeeze6.

For the testing distribution (wheezy) and the unstable distribution
(sid), these problems have been fixed in version 3.1.15-1.

We recommend that you upgrade your icedove packages.

Further information about Debian Security Advisories, how to apply
these updates to your system and frequently asked questions can be
found at: http://www.debian.org/security/

Mailing list: debian-security-announce@lists.debian.org
– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.9 (GNU/Linux)

iQEcBAEBAgAGBQJOvZIdAAoJEL97/wQC1SS+eRsIAJE6hacrJBLdG2FezXbqKK2B
juHyC245DzaZ2sqO4RsP6VDKNdop6URQljoJfn7ewh4tw4oribXhV00CiwpFaLM7
ui+YKyJ22vCtrp5DBIzsirR08c7/Dy+jKDa2iq4jCJDjmEzpbfHzFbW6jaMKtoge
7SBGbmaHVKyJbLhIY9E9i1U72EJrBJNqQ31gChvaZpJ0N6LzYL4z/ze4lXLgcS6R
k/0XH396nbLO2zgFxi0ok9iYQZblCoIlDTiTpLqWVFyeFG7LHh15LZPgUclhwZoe
8PhOByLk9/YcRW+ooKKjYwfT1qzYOOuU8y4ozPEKLMx5dHC9H2//xKviQNMJO+4=
=uqXx
– —–END PGP SIGNATURE—–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)

iQEcBAEBAgAGBQJOwPxIAAoJEJtyb8U7iGZBEsgH/2hsqfhOHPyMVAqTE0kYCiay
5dFODCi4rRw44WN+rJeURynlnVW1THqkIRE4KoUI8LrsFi7br8DABM3197sNao/g
0yLwFkiqI26EVDzGa125IxauvNV1bwIusmt9UgSiDZBEjErcKSf549vmQHRVpLPV
nH+qvamNGcJR9kT8UrVWY4hcbLSMCIR8r+nJ/UPYWZMMVjVcoYan8avVWRvFB3FQ
3U0W1BNYzJfELrQ7DD523Jgs+w0UnBLJ1uQ3R0S1bX6aVjr3wPQj61w6N17K8e12
PuBaTSlx2+znRs5ZTejtujsKbczHdh1kIV3k4+f1SCV86l6+6DwfXTDbca0jtCc=
=YtJu
—–END PGP SIGNATURE—–