Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (16.05.2014):
Für SUSE Linux Enterprise Server 11 SP2 LTSS steht ein Sicherheitsupdate
zur Verfügung.
Version 5 (14.05.2014):
openSUSE hat Sicherheitsupdates für die Distributionen openSUSE 12.3 und
13.1 veröffentlicht. Die Schwachstelle mit der ID CVE-2014-1520 ist in den
Sicherheitsupdates nicht mit inbegriffen.
Version 4 (14.05.2014):
SUSE hat Sicherheitsupdates für die Distributionen SUSE Linux Enterprise
Software Development Kit 11 SP3, SUSE Linux Enterprise Desktop 11 SP3,
SUSE Linux Enterprise Server 11 SP3 und Server 11 SP3 für VMware
veröffentlicht. Die Schwachstelle mit der ID CVE-2014-1520 ist neu
hinzugekommen und bezieht sich nur auf diese Sicherheitsupdates.
Version 3 (06.05.2014):
Der Hersteller stellt für Iceweasel und Icedove in Debian Wheezy und
Jessie Sicherheitsupdates zur Verfügung.
Version 2 (02.05.2014):
Neues Advisory
Version 1 (30.04.2014):
Neues Advisory
Betroffene Software:
Debian Icedove < 24.5.0-1 Debian Iceweasel < 24.5.0esr-1 Mozilla Firefox < 29 Mozilla Firefox ESR < 24.5 Mozilla SeaMonkey <= 2.25 Mozilla Thunderbird < 24.5 Betroffene Plattformen: SUSE Software Development Kit 11 SP3 Enterprise Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 12.10 Canonical Ubuntu Linux 13.10 Canonical Ubuntu Linux 14.04 Lts Debian Linux 7.5 Wheezy Debian Linux 8.0 Jessie openSUSE 12.3 openSUSE 13.1 SUSE Linux Enterprise Desktop 11 SP3 SUSE Linux Enterprise Server 11 SP2 LTSS SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 VMware Red Hat Enterprise Linux 5 Server Red Hat Enterprise Linux 6 Server Red Hat Enterprise Linux 6 Workstation Red Hat Enterprise Linux Desktop 5 Client Red Hat Enterprise Linux Desktop 6 Red Hat Enterprise Linux HPC Node 6 Red Hat Enterprise Linux Server 6.5 AUS Red Hat Enterprise Linux Server 6.5.z EUS Mehrere Schwachstellen erlauben einem entfernten, nicht authentisierten Angreifer beliebigen Programmcode mit den Rechten des Benutzers auszuführen oder einen Denial-of-Service-Zustand herbeizuführen. Patch: Mozilla Security Advisory 2014-34 http://www.mozilla.org/security/announce/2014/mfsa2014-34.html
Patch:
Mozilla Security Advisory 2014-37
http://www.mozilla.org/security/announce/2014/mfsa2014-37.html
Patch:
Mozilla Security Advisory 2014-38
http://www.mozilla.org/security/announce/2014/mfsa2014-38.html
Patch:
Mozilla Security Advisory 2014-42
http://www.mozilla.org/security/announce/2014/mfsa2014-42.html
Patch:
Mozilla Security Advisory 2014-43
http://www.mozilla.org/security/announce/2014/mfsa2014-43.html
Patch:
Mozilla Security Advisory 2014-44
http://www.mozilla.org/security/announce/2014/mfsa2014-44.html
Patch:
Mozilla Security Advisory 2014-46
http://www.mozilla.org/security/announce/2014/mfsa2014-46.html
Patch:
Red Hat Security Advisory RHSA-2014:0448
http://rhn.redhat.com/errata/RHSA-2014-0448.html
Patch:
Red Hat Security Advisory RHSA-2014:0449
http://rhn.redhat.com/errata/RHSA-2014-0449.html
Patch:
Debian Security Advisory DSA-2918-1
https://www.debian.org/security/2014/dsa-2918
Patch:
Ubuntu Security Notice USN-2189-1
http://www.ubuntu.com/usn/usn-2189-1/
Patch:
Debian Security Advisory DSA-2924
https://www.debian.org/security/2014/dsa-2924
Patch:
SUSE Security Update: SUSE-SU-2014:0638-1
http://lists.opensuse.org/opensuse-security-announce/2014-05/msg00003.html
Patch:
openSUSE Security Update: openSUSE-SU-2014:0640-1
http://lists.opensuse.org/opensuse-updates/2014-05/msg00040.html
Patch:
SUSE Security Update: SUSE-SU-2014:0638-2
http://lists.opensuse.org/opensuse-security-announce/2014-05/msg00005.html
CVE-2014-1532: Use-after-free-Schwachstelle in Mozilla
Eine Use-after-free-Schwachstelle existiert in der Funktion
“nsHostResolver::ConditionallyRefreshRecord” in “libxul.so” in Mozilla
Firefox, Firefox ESR, Thunderbird, SeaMonkey, Iceweasel und Icedove. Diese
Schwachstelle erlaubt einem entfernten, nicht authentisierten Angreifer
beliebigen Programmcode mit den Rechten des Benutzers auszuführen oder einen
Denial-of Service-Zustand (Heap-Speicherkorruption) herbeizuführen.
CVE-2014-1531: Use-after-free-Schwachstelle in Mozilla
Eine Use-after-free-Schwachstelle existiert in der Funktion
“nsGenericHTMLElement::GetWidthHeightForImage” in Mozilla Firefox, Firefox
ESR, Thunderbird, SeaMonkey, Iceweasel und Icedove. Diese Schwachstelle
erlaubt einem entfernten, nicht authentisierten Angreifer, mittels eines
“imgLoader”-Objektes, welches nicht korrekt behandelt wird während einer
“image-resize”-Operation, beliebigen Programmcode mit den Rechten des
Benutzers auszuführen oder einen Denial-of Service-Zustand
(Heap-Speicherkorruption) herbeizuführen.
CVE-2014-1530: Schwachstelle in Mozilla erlaubt XSS
Eine Schwachstelle existiert in der “docshell”-Implementierung in Mozilla
Firefox, Firefox ESR, Thunderbird, SeaMonkey, Iceweasel und Icedove. Diese
Schwachstelle erlaubt einem entfernten, nicht authentisierten Angreifer,
mittels einer präparierten Webseite, welche History-Navigation ausführt, das
Laden von URLs mit “spoofed” “baseURI”-Eigenschaften zu triggern und
Cross-site-Scripting (XSS)-Angriffe durchzuführen.
CVE-2014-1529: Schwachstelle in der “Web Notification” API
Eine Schwachstelle existiert in der “Web Notification” API in Mozilla
Firefox, Firefox ESR, Thunderbird, SeaMonkey, Iceweasel und Icedove. Diese
Schwachstelle erlaubt einem entfernten, nicht authentisierten Angreifer,
mittels einer präparierten Webseite, für die “Notification Permission”
zugelassen ist, vorgesehene Beschränkungen für Source-Komponenten zu umgehen
und beliebigen JavaScript Code in einem privilegierten Kontext auszuführen.
CVE-2014-1524: Pufferüberlauf-Schwachstelle in Mozilla
In der Funktion “nsXBLProtoImpl::InstallImplementation” in Mozilla Firefox,
Firefox ESR, Thunderbird, SeaMonkey, Iceweasel und Icedove wird nicht
korrekt überprüft, ob es sich bei Objekten um XBL-Objekte handelt. Diese
Schwachstelle erlaubt einem entfernten, nicht authentisierten Angreifer,
mittels präpariertem JavaScript Code, welcher ein non-XBL-Objekt wie ein
XBL-Objekt behandelt, beliebigen Programmcode auszuführen oder einen
Denial-of-Service-Zustand (Speicherüberlauf) herbeizuführen.
CVE-2014-1523: Pufferüberlauf-Schwachstelle in Mozilla
Eine Schwachstelle in der Funktion “read_u32 function” in Mozilla Firefox,
Firefox ESR, Thunderbird, SeaMonkey, Iceweasel und Icedove führt zu einem
Heap-basierten Speicherüberlauf. Diese Schwachstelle erlaubt einem
entfernten, nicht authentisierten Angreifer, mittels eines präparierten
JPEG-Bildes, einen Denial-of-Service-Zustand (“out-of-bounds read” und
Absturz der Applikation) herbeizuführen.
CVE-2014-1520: Schwachstelle in Mozilla Maintenance Service Installer
erlaubt Privilegieneskalation
Eine Schwachstelle existiert in “maintenservice_installer.exe” im
Maintenance Service Installer in Mozilla Firefox bevor 29.0 und Firefox ESR
24.x bevor 24.5 auf Windows (Linux und OS X sind davon nicht betroffen).
Diese Schwachstelle erlaubt einem lokal angemeldeten Benutzer als Angreifer,
indem er eine “Trojanisches Pferd” DDL-Datei zu einem nicht spezifizierten
Zeitpunkt während des Update-Prozesses in einem temporären Verzeichnis
ablegt, seine Privilegien zu erweitern.
CVE-2014-1518: Mehrere Schwachstellen in der Mozilla Browser Engine
In der Mozilla Browser Engine von Firefox, Firefox ESR , Thunderbird,
SeaMonkey, Iceweasel und Icedove existieren mehrere unspezifizierte
Schwachstellen. Diese Schwachstellen erlauben einem entfernten, nicht
authentisierten Angreifer, indem er einen Benutzer dazu bringt eine speziell
präparierte Webseite zu öffnen, einen Denial-of-Service-Zustand
(Speicherkorruption und Absturz der Applikation) herbeizuführen oder
möglicherweise beliebigen Programmcode mit den Rechten des Benutzers
ausführen zu lassen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0527/
Mozilla Security Advisory 2014-34:
http://www.mozilla.org/security/announce/2014/mfsa2014-34.html
Mozilla Security Advisory 2014-37:
http://www.mozilla.org/security/announce/2014/mfsa2014-37.html
Mozilla Security Advisory 2014-38:
http://www.mozilla.org/security/announce/2014/mfsa2014-38.html
Mozilla Security Advisory 2014-42:
http://www.mozilla.org/security/announce/2014/mfsa2014-42.html
Mozilla Security Advisory 2014-43:
http://www.mozilla.org/security/announce/2014/mfsa2014-43.html
Mozilla Security Advisory 2014-44:
http://www.mozilla.org/security/announce/2014/mfsa2014-44.html
Mozilla Security Advisory 2014-46:
http://www.mozilla.org/security/announce/2014/mfsa2014-46.html
Red Hat Security Advisory RHSA-2014:0448:
http://rhn.redhat.com/errata/RHSA-2014-0448.html
Red Hat Security Advisory RHSA-2014:0449:
http://rhn.redhat.com/errata/RHSA-2014-0449.html
Schwachstelle CVE-2014-1518 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1518
Schwachstelle CVE-2014-1520 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1520
Schwachstelle CVE-2014-1523 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1523
Schwachstelle CVE-2014-1524 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1524
Schwachstelle CVE-2014-1529 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1529
Schwachstelle CVE-2014-1530 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1530
Schwachstelle CVE-2014-1531 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1531
Schwachstelle CVE-2014-1532 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1532
Debian Security Advisory DSA-2918-1:
https://www.debian.org/security/2014/dsa-2918
Ubuntu Security Notice USN-2189-1:
http://www.ubuntu.com/usn/usn-2189-1/
Debian Security Advisory DSA-2924:
https://www.debian.org/security/2014/dsa-2924
SUSE Security Update: SUSE-SU-2014:0638-1:
http://lists.opensuse.org/opensuse-security-announce/2014-05/msg00003.html
openSUSE Security Update: openSUSE-SU-2014:0640-1:
http://lists.opensuse.org/opensuse-updates/2014-05/msg00040.html
SUSE Security Update: SUSE-SU-2014:0638-2:
http://lists.opensuse.org/opensuse-security-announce/2014-05/msg00005.html
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
