Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 4 (27.03.2014):
Für die Distributionen openSUSE 13.1 und openSUSE 12.3 wurden neue
Firefox-Pakete (Update auf Firefox Version 28.0) zur Verfügung gestellt.
Version 3 (24.03.2014):
Ubuntu stellt für die Distributionen 12.04 LTS, 12.10 und 13.10 neue
Thunderbird-Pakete bereit. SUSE stellt für Linux Enterprise 11 neue
Firefox-Pakete zur Verfügung.
Version 2 (19.03.2014):
Ubuntu stellt für die Distributionen 12.04 LTS, 12.10 und 13.10 neue
Pakete bereit, welche alle referenzierten Mozilla-Schwachstellen bis auf
CVE-2014-1496 adressieren.
Version 1 (19.03.2014):
Neues Advisory
Betroffene Software:
Mozilla Firefox <= 27.0 Mozilla Firefox ESR <= 24.3 Mozilla SeaMonkey <= 2.24 Mozilla Thunderbird <= 24.3 Betroffene Plattformen: Red Hat Optional Productivity Applications 5 Server SuSE SUSE Linux Enterprise Software Development Kit 11 SP3 Enterprise Apple Mac OS X Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 12.10 Canonical Ubuntu Linux 13.10 Debian Linux 7.4 Wheezy GNU/Linux Microsoft Windows openSUSE 12.3 openSUSE 13.1 SUSE Linux Enterprise Desktop 11 SP3 SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 VMware Red Hat Enterprise Linux 5 Server Red Hat Enterprise Linux 6 Server Red Hat Enterprise Linux Desktop 5 Client Red Hat Enterprise Linux Desktop 6 Red Hat Enterprise Linux HPC Node 6 Red Hat Enterprise Linux Server 6.5 AUS Red Hat Enterprise Linux Server 6.5.z EUS Red Hat Enterprise Linux Workstation 6 Mehrere Schwachstellen erlauben in den meisten Fällen einem entfernten, nicht authentisierten Angreifer beliebigen Programmcode mit den Rechten des Benutzers bzw. der Anwendung zur Ausführung bringen oder die Anwendung zum Absturz zu bringen. Eine Schwachstelle erlaubt einem lokal angemeldeten Benutzer höhere Privilegien zu erlangen. Mozilla behebt folgende Schwachstellen in den neuen Versionen Firefox 28: CVE-2014-1493 CVE-2014-1494 CVE-2014-1496 CVE-2014-1497 CVE-2014-1498 CVE-2014-1499 CVE-2014-1500 CVE-2014-1502 CVE-2014-1504 CVE-2014-1505 CVE-2014-1508 CVE-2014-1509 CVE-2014-1509 CVE-2014-1510 CVE-2014-1511 CVE-2014-1512 CVE-2014-1513 CVE-2014-1514 Firefox ESR 24.4: CVE-2014-1493 CVE-2014-1496 CVE-2014-1497 CVE-2014-1505 CVE-2014-1508 CVE-2014-1509 CVE-2014-1509 CVE-2014-1510 CVE-2014-1511 CVE-2014-1512 CVE-2014-1513 CVE-2014-1514 Thunderbird 24.4: CVE-2014-1496 CVE-2014-1497 CVE-2014-1505 CVE-2014-1508 CVE-2014-1509 CVE-2014-1509 CVE-2014-1510 CVE-2014-1511 CVE-2014-1512 CVE-2014-1513 CVE-2014-1514 Seamonkey 2.25: CVE-2014-1496 CVE-2014-1497 CVE-2014-1498 CVE-2014-1499 CVE-2014-1500 CVE-2014-1502 CVE-2014-1504 CVE-2014-1505 CVE-2014-1508 CVE-2014-1509 CVE-2014-1509 CVE-2014-1510 CVE-2014-1511 CVE-2014-1512 CVE-2014-1513 CVE-2014-1514 Patch: Debian Security Advisory DSA-2881-1 http://www.debian.org/security/2014/dsa-2881
Patch:
Ubuntu Security Notice USN-2150-1
http://www.ubuntu.com/usn/usn-2150-1/
Patch:
Ubuntu Security Notice USN-2151-1
http://www.ubuntu.com/usn/usn-2151-1/
Patch:
Red Hat Security Advisory RHSA-2014-0310
http://rhn.redhat.com/errata/RHSA-2014-0310.html
Patch:
Red Hat Security Advisory RHSA-2014-0316
http://rhn.redhat.com/errata/RHSA-2014-0316.html
Patch:
SUSE Security Update SUSE-SU-2014:0418-1
http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00016.html
Patch:
openSUSE Security Update openSUSE-SU-2014:0448-1
http://lists.opensuse.org/opensuse-updates/2014-03/msg00093.html
CVE-2014-1514: Out-of-bounds-Schwachstelle in TypedArrayObject
Eine Schwachstelle in “vmtypedarrayobject.cpp” in Mozilla Firefox, Firefox
ESR, Thunderbird und SeaMonkey überprüft nicht korrekt die Länge eines
Zielfeldes vor einem Kopiervorgang. Diese Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, um durch
Triggern einer inkorrekten Verwendung der TypedArrayObject-Klasse beliebigen
Programmcode mit den Rechten des Benutzers zur Ausführung zu bringen oder
die Anwendung zum Absturz zu bringen.
CVE-2014-1513: Out-of-bounds-Schwachstelle in TypedArrayObject
Eine Schwachstelle in “TypedArrayObject.cpp” in Mozilla Firefox, Firefox
ESR, Thunderbird und SeaMonkey verhindert nicht korrekt eine
Nulllängen-Übergabe für ein “ArrayBuffer”-Objekt. Diese Schwachstelle kann
von einem entfernten, nicht authentisierten Angreifer ausgenutzt werden, um
mittels einer präparierten Webseite beliebigen Programmcode mit den Rechten
des Benutzers zur Ausführung zu bringen oder die Anwendung zum Absturz zu
bringen.
CVE-2014-1512: Use-after-free-Schwachstelle in Mozilla-Produkten
Eine Use-after-free-Schwachstelle existiert in der TypeObject-Klasse in der
JavaScript “Engine” in Mozilla Firefox, Firefox ESR, Thunderbird und
SeaMonkey, welche bei hoher Speicherauslastung während des Müllsammelns,
unter bestimmten Umständen, zu einer Speicherkorruption führen kann. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebigen Programmcode mit Benutzerrechten zur Ausführung
bringen oder die Anwendung zum Absturz zu bringen (Denial-of-Service).
CVE-2014-1511: Umgehung des Popup-Blockers in Mozilla Produkten
In verschiedenen Mozilla-Anwendungen kann der Popup-Blocker umgangen werden,
ohne dass eine Benutzerinteraktion notwendig ist. In Verbindung mit der
Schwachstelle CVE-2014-1510 kann ein entfernter, nicht authentifizierter
Angreifer diese Schwachstelle ausnutzen, um eine Javascript URL zu laden,
die mit den rechten des Browsers ausgeführt wird und damit beliebigen Code
zur Ausführung bringen kann.
CVE-2014-1510: Schwachstelle in WebIDL
Eine Schwachstelle besteht in der WebIDL-Implementierung in Mozilla Firefox,
Firefox ESR, Thunderbird und SeaMonkey, die es ermöglicht, dass nicht
vertrauenswürdige Webinhalte in eine chrome-privilegierte Seite geladen
werden können, wenn man eine JavaScript-implementierte WebIDL dazu bringt,
den Befehl “window.open()” aufzurufen. Ein entfernter, nicht authentisierter
Angreifer kann beliebigen JavaScript-Code mit Chrome-Privilegien zur
Ausführung bringen, indem er durch IDL-Fragmente ein “window.open” aufruft.
CVE-2014-1509: Speicherüberlauf-Schwachstelle in Cairo
Eine Schwachstelle in der Funktion “_cairo_truetype_index_to_ucs4” in der
Cairo Grafikbibliothek, wie verwendet in Mozilla Firefox, Firefox ESR,
Thunderbird und SeaMonkey, besteht für das Rendering von PDF-Dateien bei der
Darstellung. Ein entfernter, nicht authentisierter Angreifer kann mittels
einer präparierten Erweiterung, welche Fonts in einem PDF-Dokument zur
Darstellung bringt, beliebigen Programmcode mit den Rechten des Benutzers
zur Ausführung oder Firefox zum Absturz bringen (Denial-of-Service).
CVE-2014-1508: Out-of-bounds-read-Schwachstelle in
libxul.so!gfxContext::Polygon
Eine Schwachstelle ermöglicht das Lesen außerhalb von Begrenzungen während
des Polygon-Renderings in MathML. Diese Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, um
vertrauliche Informationen über Domaingrenzen hinweg auszulesen.
CVE-2014-1505: Schwachstelle in feDisplacementMap
Eine Schwachstelle besteht in einem Mechanismus, welcher Timing-Angriffe auf
SVG Filter durch entsprechenden Input an feDisplacementMap ermöglicht. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um über Domaingrenzen hinweg an vertrauliche Informationen zu
gelangen.
CVE-2014-1504: Content-Security-Policy Schwachstelle
Bei der Wiederherstellung von Sitzungen (Sessions) in Mozilla Firefox und
SeaMonkey wird die “Content Security Policy” (CSP) einer “data: URL” nicht
berücksichtigt, Dokumente werden bei der Wiederherstellung nicht gesichert.
Wenn es einem entfernten, nicht authentisierten Angreifer gelingt, einen
Benutzer dazu zu bringen, nach einem Browser-Absturz ein präpariertes
Dokument von einer “data: URL” zu öffnen, welche in eine Webseite
eingeschleust wurde, erlaubt dies dem Angreifer einen Cross-Site Scripting
(XSS)-Angriff durchführen.
CVE-2014-1502: Schwachstelle erlaubt WebGL-Inhaltsinjektion
Die Funktionen (1) WebGL.compressedTexImage2D und (2)
WebGL.compressedTexSubImage2D in Mozilla Firefox und SeaMonkey erlauben die
“Same Origin” Policy zu umgehen. Diese Schwachstelle ermöglicht es, von
einer schädlichen Webseite mit WebGL-Inhalten, solche Inhalte aus deren
Kontext in den Kontext von WebGL-Inhalten einer anderen Webseite
einzuschleusen und dadurch Texturen und ähnliche Inhalte auszutauschen. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen und beliebige Inhalte innerhalb dieser begrenzten
Rahmenbedingungen darzustellen.
CVE-2014-1500: Schwachstelle in JavaScript ermöglicht Denial-of-Service
Eine Schwachstelle in Mozilla Firefox und SeaMonkey kann bei Ausführung von
JavaScript in Verbindung mit ‘onbeforeunload’ Ereignissen das Schließen von
schädlichen Seiten-Tabs verhindern. Dies führt zu hohem Ressourcenbrauch und
der Browser reagiert nicht mehr. Diese Schwachstelle erlaubt es einem
entfernten, nicht authentisierten Angreifer einen Denial-of-Service-Zustand
herbeizuführen.
CVE-2014-1499: Schwachstelle in WebRTC ermöglicht Spoofing
Eine Schwachstelle besteht bei Erzeugung des Permission Prompts während
einer WebRTC Session. Diese Schwachstelle ermöglicht Spoofing-Angriffe der
Art, dass der Permission Prompt von einer anderen Webseite zu kommen
scheint, als dies tatsächlich der Fall ist. Dies ermöglicht einem
entfernten, nicht authentisierten Angreifer durch Maskierung als eine andere
Webseite (Spoofing), Benutzerrechte und dadurch Zugriff auf die Webcam oder
das Mikrofon zu erlangen.
CVE-2014-1498: Schwachstelle in crypto.generateCRMFRequest
Eine Schwachstelle in crypto.generateCRMFRequest besteht darin, dass
nsConvertToActualKeyGenParams beim Erzeugen eines ‘ec-dual-use’-Requests den
Union in einem SECKEYPublicKey verwendet, ohne korrekt den Schlüsseltyp zu
prüfen. Diese Schwachstelle kann von einem entfernten, nicht authentisierten
Angreifer ausgenutzt werden, um die Anwendung zum Absturz zu bringen
(Denial-of-Service).
CVE-2014-1497: Out-of-bounds-read-Schwachstelle in der WAV-Datei Dekodierung
Die Schwachstelle ermöglicht das Lesen außerhalb von Begrenzungen während
der Dekodierung von WAV-Dateien. Die Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, um sensitive
Informationen auszulesen oder Firefox zum Absturz zu bringen
(Denial-of-Service).
CVE-2014-1496: Schwachstelle in Mozilla-Produkten ermöglicht
Privilegieneskalation
Eine Schwachstelle in Mozilla Firefox, Firefox ESR 24.x, Thunderbird und
SeaMonkey besteht darin, dass Dateien nicht immer als “read-only”
gekennzeichnet werden, wenn Inhalte extrahiert werden. Diese Schwachstelle
erlaubt einem lokal angemeldeten Benutzer während eines Updates durch eine
Modifikation des extrahierten Mar-Inhaltes höhere Privilegien zu erlangen.
CVE-2014-1494: Memory Safety-Fehler in Mozilla-Produkten
Eine Schwachstelle in der Browser Engine, die in Firefox und anderen
Mozilla-Produkten verwendet wird, besteht in einer unsicheren Verwaltung von
Random Access Memory (RAM). Dies kann unter bestimmten Bedingungen zu einer
Speicherkorruption führen. Ein entfernter, nicht authentisierter Angreifer
kann, wenn er einen Benutzer dazu bringt, eine speziell präparierte Webseite
aufzurufen, unter Ausnutzung dieser Schwachstelle beliebigen Programmcode
mit den Rechten des Benutzers zur Ausführung bringen.
CVE-2014-1493: Memory Safety-Fehler in Mozilla-Produkten
Eine Schwachstelle in der Browser Engine, die in Firefox und anderen
Mozilla-Produkten verwendet wird, besteht in einer unsicheren Verwaltung von
Random Access Memory (RAM). Dies kann unter bestimmten Bedingungen zu einer
Speicherkorruption führen. Ein entfernter, nicht authentisierter Angreifer
kann, wenn er einen Benutzer dazu bringt, eine speziell präparierte Webseite
aufzurufen, unter Ausnutzung dieser Schwachstelle beliebigen Programmcode
mit den Rechten des Benutzers zur Ausführung bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0334/
Mozilla Foundation Security Advisory 2014-17:
http://www.mozilla.org/security/announce/2014/mfsa2014-17.html
Mozilla Foundation Security Advisory 2014-22:
http://www.mozilla.org/security/announce/2014/mfsa2014-22.html
Mozilla Foundation Security Advisory 2014-20:
http://www.mozilla.org/security/announce/2014/mfsa2014-20.html
Mozilla Foundation Security Advisory 2014-28:
http://www.mozilla.org/security/announce/2014/mfsa2014-28.html
Mozilla Foundation Security Advisory 2014-19:
http://www.mozilla.org/security/announce/2014/mfsa2014-19.html
Mozilla Foundation Security Advisory 2014-23:
http://www.mozilla.org/security/announce/2014/mfsa2014-23.html
Mozilla Foundation Security Advisory 2014-27:
http://www.mozilla.org/security/announce/2014/mfsa2014-27.html
Mozilla Foundation Security Advisory 2014-30:
http://www.mozilla.org/security/announce/2014/mfsa2014-30.html
Mozilla Foundation Security Advisory 2014-31:
http://www.mozilla.org/security/announce/2014/mfsa2014-31.html
Mozilla Foundation Security Advisory 2014-32:
http://www.mozilla.org/security/announce/2014/mfsa2014-32.html
Mozilla Foundation Security Advisory 2014-16:
http://www.mozilla.org/security/announce/2014/mfsa2014-16.html
Mozilla Foundation Security Advisory 2014-29:
http://www.mozilla.org/security/announce/2014/mfsa2014-29.html
Mozilla Foundation Security Advisory 2014-15:
http://www.mozilla.org/security/announce/2014/mfsa2014-15.html
Mozilla Foundation Security Advisory 2014-18:
http://www.mozilla.org/security/announce/2014/mfsa2014-18.html
Mozilla Foundation Security Advisory 2014-26:
http://www.mozilla.org/security/announce/2014/mfsa2014-26.html
Schwachstelle CVE-2014-1509 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1509
Schwachstelle CVE-2014-1496 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1496
Schwachstelle CVE-2014-1512 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1512
Schwachstelle CVE-2014-1504 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1504
Schwachstelle CVE-2014-1514 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1514
Schwachstelle CVE-2014-1498 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1498
Schwachstelle CVE-2014-1510 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1510
Schwachstelle CVE-2014-1511 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1511
Schwachstelle CVE-2014-1499 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1499
Schwachstelle CVE-2014-1497 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1497
Schwachstelle CVE-2014-1502 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1502
Schwachstelle CVE-2014-1513 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1513
Schwachstelle CVE-2014-1494 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1494
Schwachstelle CVE-2014-1493 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1493
Schwachstelle CVE-2014-1505 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1505
Schwachstelle CVE-2014-1508 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1508
Schwachstelle CVE-2014-1500 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1500
Debian Security Advisory DSA-2881-1:
http://www.debian.org/security/2014/dsa-2881
Ubuntu Security Notice USN-2150-1:
http://www.ubuntu.com/usn/usn-2150-1/
Ubuntu Security Notice USN-2151-1:
http://www.ubuntu.com/usn/usn-2151-1/
Red Hat Security Advisory RHSA-2014-0310:
http://rhn.redhat.com/errata/RHSA-2014-0310.html
Red Hat Security Advisory RHSA-2014-0316:
http://rhn.redhat.com/errata/RHSA-2014-0316.html
SUSE Security Update SUSE-SU-2014:0418-1:
http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00016.html
openSUSE Security Update openSUSE-SU-2014:0448-1:
http://lists.opensuse.org/opensuse-updates/2014-03/msg00093.html
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
