DFN-CERT-2012-1407 Mehrere Schwachstellen in Mozilla Firefox, Thunderbird und XULRunner [Linux][Fedora]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket firefox
Paket thunderbird
Paket thunderbird-lightning
Paket xulrunner

Betroffene Plattformen:

Fedora 17

Es existieren mehrere Schwachstellen in Mozilla Firefox, Thunderbird und
XULRunner. Im schlimmsten Fall kann ein entfernter Angreifer diese ausnutzen
um beliebigen Code mit den Rechten der jeweiligen Anwendung zur Ausführung
zu bringen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2012-1960: Schwachstelle in der Mozilla QCMS-Implementatierung

Die Funktion qcms_transform_data_rgb_out_lut_sse2() in Mozilla Firefox 4.x
bis 13.0, Thunderbird 5.0 bis 13.0 sowie SeaMonkey vor 2.11 ermöglicht
entfernten Angreifern, mittels eines speziell präparierten Farbprofils,
vertrauliche Informationen aus dem Prozessspeicher auszulesen.

CVE-2012-1949: Schwachstellen in der Mozilla Browser-Engine

In Mozilla Firefox Version 4.x bis 13.0, Thunderbird Version 5.0 bis 13.0
und SeaMonkey vor Version 2.11 gibt es mehrere nicht näher beschriebene
Schwachstellen. Ein entfernter Angreifer kann diese ausnutzen um den
Speicher der jeweiligen Anwendung zu korrumpieren, die Anwendung zum Absturz
zu bringen und möglicherweise beliebigen Code mit den Rechten der Anwendung
zur Ausführung bringen.

CVE-2012-1967: Schwachstelle in der Mozilla Browser-Engine

In der Mozilla Browser-Engine ist es ‘javascript:URLs’ in gewissen Fällen
möglich aus der Sandbox auszubrechen. Dies erlaubt einem entfernten
Angreifer beliebige Befehle mit den Rechten der Anwendung zur Ausführung zu
bringen.

CVE-2012-1951: Use-After-Free Schwachstelle in Mozilla Browser-Engine

In der Mozilla Browser-Engine wird auf ein Array von
‘nsSMILTimeValueSpec’-Objekten zugegriffen, nachdem es freigegeben wurde.
Einem entfernten Angreifer ermöglicht dies durch das Bereitstellen von
präpariertem Inhalt die Anwendung zum Absturz zu bringen oder
schlimmstenfalls beliebigen Code mit den Rechten der Anwendung zur
Ausführung zu bringen. Dies setzt voraus, dass der Anwender die präparierten
Inhalte mit der Anwendung öffnet.

CVE-2012-1955: Schwachstelle in der Mozilla Browser-Engine

In der Mozilla Browser-Engine wird versäumt beim Aufruf der Funktionen
‘history.forward’ und ‘history.back’ neben der ‘baseURI’ auch die
Adressleiste mit der neuen URL anzupassen. Dies erleichtert einem entfernten
Angreifer Phishing-Angriffe durchzuführen.

CVE-2012-1952: Schwachstelle in der Mozilla Browser-Engine

In der Mozilla Browser-Engine kommt es beim Aufruf der Funktion
nsTableFrame::InsertFrames() zu einem ungültigen Cast, falls der Parameter
‘aFrameList’ sowohl spaltenweise als auch zeilenweise Framegruppen enthält.
Einem entfernten Angreifer ermöglicht dies durch das Bereitstellen von
präpariertem Inhalt die Anwendung zum Absturz zu bringen oder
schlimmstenfalls beliebigen Code mit den Rechten der Anwendung zur
Ausführung zu bringen. Dies setzt voraus, dass der Anwender die präparierten
Inhalte mit der Anwendung öffnet.

CVE-2012-1962: Schwachstelle in der Mozilla Browser-Engine

In der Funktion JSDependentString::undepend() in der Mozilla Browser-Engine
kommt es durch das Konvertieren von Zeichenketten mit weiteren
Abhängigkeiten zu einer Korruption des Speichers. Einem entfernten Angreifer
ermöglicht dies, durch das Bereitstellen von präpariertem Inhalt, die
Anwendung zum Absturz zu bringen oder schlimmstenfalls beliebigen Code mit
den Rechten der Anwendung zur Ausführung zu bringen. Dies setzt voraus, dass
der Anwender die präparierten Inhalte mit der Anwendung öffnet.

CVE-2012-1954: Use-After-Free Schwachstelle in der Mozilla Browser-Engine

Die Mozilla Browser-Engine enthält in der Funktion nsDocument::AdoptNode()
eine Use-After-Free Schwachstelle. Einem entfernten Angreifer ermöglicht
dies durch das Bereitstellen von präpariertem Inhalt die Anwendung zum
Absturz zu bringen oder schlimmstenfalls beliebigen Code mit den Rechten der
Anwendung zur Ausführung zu bringen. Dies setzt voraus, dass der Anwender
die präparierten Inhalte mit der Anwendung öffnet.

CVE-2012-1966: Cross-site Scripting Schwachstelle in der Mozilla
Browser-Engine

Die Mozilla Browser-Engine versäumt es im Kontextmenü JavaScript aus URLs zu
filtern, falls die URL das Pseudo-Protokoll ‘data:’ enthält. Dies ermöglicht
einem entfernten Angreifer beliebige Befehle im Kontext des Browsers eines
Benutzers zur Ausführung zu bringen (“Cross-site Scripting”).

CVE-2012-1957: Schwachstelle in der Parser Utility Klasse der Mozilla
Browser-Engine

In der Parser Utility-Klasse der Mozilla Browser-Engine werden die HTML-Tags
‘‘ und ‘‘ in RSS-Feeds nicht fehlerfrei gefiltert. Dies
ermöglicht einem entfernten Angreifer beliebige HTML- und Script-Befehle im
Kontext des Browser des Benutzers zur Ausführung zu bringen.

CVE-2012-1953: Buffer Overflow Schwachstelle in Mozilla Browser-Engine

In der Mozilla Browser-Engine kommt es in ‘ElementAnimations’ beim
dereferenzieren von Zeigern nach dem Lesen von Daten am Ende eines Feldes zu
einem Buffer Overflow auf dem Heap. Einem entfernten Angreifer ermöglicht
dies durch das Bereitstellen von präpariertem Inhalt die Anwendung zum
Absturz zu bringen oder schlimmstenfalls beliebigen Code mit den Rechten der
Anwendung zur Ausführung zu bringen. Dies setzt voraus, dass der Anwender
die präparierten Inhalte mit der Anwendung öffnet.

CVE-2012-1961: Schwachstelle in der Mozilla Browser-Engine

In der Mozilla Browser-Engine werden ‘X-Frame-Options’-Header ignoriert,
falls dessen Wert doppelt im Header auftritt. Dies ermöglicht einem
entfernten Angreifer Click-Jacking-Angriffe einfacher durchzuführen.

CVE-2012-1959: Schwachstelle im Compartment Wrapper in der Mozilla
Browser-Engine

In der Mozilla Browser-Engine wird versäumt Inhalte bei der Verwendung eines
“Cross-Compartment Wrappers” auch durch den “Same-Compartment Security
Wrapper” überprüfen zu lassen. Dies ermöglicht einem entfernten Angreifer
durch das Bereitstellen von nicht vertrauenswürdigen Inhalten mittels der
‘XML Binding Language’ auf Browser Funktionalitäten zuzugreifen. Dies setzt
voraus, dass der Anwender die Inhalte mit der Anwendung öffnet.

CVE-2012-1948: Schwachstelle in der Mozilla Browser-Engine

Die Mozilla Browser-Engine, wie sie z.B. in Mozilla Firefox 4.x bis 13.0,
Thunderbird 5.0 bis 13.0 und SeaMonkey vor Version 2.11 verwendet wird,
enthält mehrere nicht weiter beschriebene Schwachstellen in der
Speicherverwaltung. Einem entfernten Angreifer ermöglicht dies durch das
Bereitstellen von präpariertem Inhalt die Anwendung zum Absturz zu bringen
oder schlimmstenfalls beliebigen Code mit den Rechten der Anwendung zur
Ausführung zu bringen. Dies setzt voraus, dass der Anwender die präparierten
Inhalte mit der Anwendung öffnet.

CVE-2012-1958: Use-After-Free Schwachstelle in der Mozilla Browser-Engine

Die Mozilla Browser-Engine enthält in der Funktion
nsGlobalWindow::PageHidden() eine Use-After-Free Schwachstelle. Diese tritt
auf, wenn ‘oldFocusedContent’ verwendet wird nachdem ‘mFocusedContent’
freigegeben wurde. Einem entfernten Angreifer ermöglicht dies durch das
Bereitstellen von präpariertem Inhalt die Anwendung zum Absturz zu bringen
oder schlimmstenfalls beliebigen Code mit den Rechten der Anwendung zur
Ausführung zu bringen. Dies setzt voraus, dass der Anwender die präparierten
Inhalte mit der Anwendung öffnet.

CVE-2012-1950: Schwachstelle in der Mozilla Browser-Engine

In der Mozilla Browser-Engine wird durch eine ‘Drag-and-Drop’-Operation auf
die Adressleiste das Laden der Seite abgebrochen. Dabei bleibt der vorherige
Seiteninhalt angezeigt, die URL in der Adressleiste zeigt jedoch weiterhin
auf die neue, nicht geladene Seite. Dieses Verhalten erleichtert
Phishing-Angriffe durch präparierte Webseiten.

CVE-2012-1963: Schwachstelle in der Content Security Policy der Mozilla
Browser-Engine

Die Implementierung von der Content Security Policy (CSP) 1.0 in der
Mozilla Browser-Engine sendet im Rahmen des ‘CSP-Violation-Reports’
vertrauliche Daten im ‘blocked-uri’-Parameter an die ‘report-uri’. Dies
ermöglicht einem entfernten Angreifer OAuth 2.0 Zugangs-Tokens und
OpenID-Daten des Benutzers zu erlangen.

CVE-2012-1965: Cross-site Scripting Schwachstelle in der Mozilla
Browser-Engine

Die Mozilla Browser-Engine versäumt in gewissen Fällen JavaScript aus URLs
zu filtern, falls die URL das Pseudo-Protokoll ‘feed:’ enthält. Dies
ermöglicht einem entfernten Angreifer beliebige Befehle im Kontext des
Browsers eines Benutzers zur Ausführung zu bringen (Cross-site Scripting).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1407/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-July/084021.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-July/084022.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-July/084020.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-July/084023.html