DFN-CERT-2014-1580 Mozilla Firefox, Thunderbird: Mehrere Schwachstellen erlauben das Ausführen beliebigen Programmcodes [Linux][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Mozilla Firefox < 34 Mozilla Firefox ESR < 31.3 Mozilla Thunderbird < 31.3 Betroffene Plattformen: Apple Mac OS X Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 14.04 Lts Canonical Ubuntu Linux 14.10 GNU/Linux Microsoft Windows Mehrere Schwachstellen im Mozilla Firefox-Browser ermöglichen in den meisten Fällen einem entfernten, nicht authentifizierten Angreifer beliebigen Programmcode mit den Rechten des Benutzers zur Ausführung zu bringen oder einen Denial-of-Service-Zustand zu bewirken. Andere Schwachstellen ermöglichen entweder das Ausspähen von Informationen oder das Umgehen von Sicherheitsvorkehrungen. Die Schwachstelle CVE-2014-1595 ist nur für Apple OSX 10.10 relevant. Die Schwachstellen werden durch Mozilla Firefox 34, Firefox ESR 31.3 und Thunderbird 31.3 behoben. Thunderbird ist nur dann überhaupt betroffen, wenn Scripting nicht deaktiviert ist und der E-Mail-Client zudem wie ein Browser verwendet wird. Für Ubuntu 14.10, 14.04 LTS und 12.04 LTS wurden bereits Sicherheitsupdates von Firefox 34.0 bereitgestellt. Patch: Mozilla Foundation Security Advisory MFSA2014-83 https://www.mozilla.org/en-GB/security/advisories/mfsa2014-83/

Patch:

Mozilla Foundation Security Advisory MFSA2014-84

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-84/

Patch:

Mozilla Foundation Security Advisory MFSA2014-85

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-85/

Patch:

Mozilla Foundation Security Advisory MFSA2014-86

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-86/

Patch:

Mozilla Foundation Security Advisory MFSA2014-87

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-87/

Patch:

Mozilla Foundation Security Advisory MFSA2014-88

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-88/

Patch:

Mozilla Foundation Security Advisory MFSA2014-89

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-89/

Patch:

Mozilla Foundation Security Advisory MFSA2014-90

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-90/

Patch:

Mozilla Foundation Security Advisory MFSA2014-91

https://www.mozilla.org/en-GB/security/advisories/mfsa2014-91/

Patch:

Ubuntu Security Notice USN-2424-1

http://www.ubuntu.com/usn/usn-2424-1/

CVE-2014-8632: Schwachstelle in Mozilla erlaubt Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in Mozilla zeigt sich, wenn XrayWrapper
Objekteigenschaften filtern. Wenn die Validierung von Objekten anfänglich
erfolgt, erscheint ein Satz von Objekteigenschaften als verfügbar. Später,
wenn die XrayWrappers entfernt wurden, ist ein umfangreicherer Satz von
Eigenschaften verfügbar und diese werden ohne weitere Validierung
gespeichert, wodurch sie weiterhin verfügbar bleiben und
Sicherheitsmechanismen umgangen werden können, die sie normalerweise vor
Zugriff schützen sollten. Ein entfernter, nicht authentisierter Angreifer
kann die Schwachstelle ausnutzen, wenn es ihm gelingt einen Benutzer auf
eine von ihm kontrollierte, schädliche Webseite zu locken, um mit Hilfe
präparierter Webinhalte auf DOM-Objekte zuzugreifen, für die eigentlich die
Berechtigung “chrome-only” gesetzt ist.

CVE-2014-8631: Schwachstelle in Mozilla erlaubt Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in Mozilla zeigt sich, wenn Chrome-Objekte durch den
Chrome Object Wrapper (COW) geschützt und als native Schnittstellen durch
gereicht werden. Wenn dieses für bestimmte Methoden erfolgt, können
normalerweise geschützte Objekte auch über native Methoden, welche
Webinhalten ausgesetzt sind, zugegriffen werden. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle ausnutzen, wenn es ihm
gelingt einen Benutzer auf eine von ihm kontrollierte Webseite zu locken, um
mit Hilfe präparierter Webinhalte auf DOM-Objekte zuzugreifen, für die
eigentlich die Berechtigung “chrome-only” gesetzt ist.

CVE-2014-1595: Schwachstelle in Apple OSX 10.10 CoreGraphics Framework
ermöglicht das Ausspähen von Informationen

In Apple OSX 10.10 (Yosemite) werden Log-Daten des CoreGraphics Framework
durch einen Fehler während der Initialisierung im lokalen Verzeichnis /tmp
gespeichert, wenn eine spezielle Speicherverwaltung wie jemalloc benutzt
wird. Für die Mozilla-Produkte bedeutet dies, dass jegliche Eingaben in
diese Produkte dort gespeichert werden. Ein lokaler, nicht authentifizierter
Angreifer kann diese Schwachstelle ausnutzen, um Informationen wie
Benutzernamen und Passworte auszuspähen.

CVE-2014-1594: Schwachstelle in Mozilla Browser-Engine ermöglicht das
Ausführen beliebigen Programmcodes

In Mozilla Firefox wurde ein falsches Casting von BasicThebesLayer zu
BasicContainerLayer gefunden. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle mit Hilfe einer speziell präparierten
Webseite ausnutzen, um die Anwendung abstürzen zu lassen oder beliebigen
Programmcode mit den Rechten des Benutzers auszuführen.

CVE-2014-1593: Speicherüberlauf-Schwachstelle in Mozilla Medienverarbeitung
ermöglicht das Ausführen beliebigen Programmcodes

Während der Verarbeitung von Media-Inhalten kann es zu einem
Speicherüberlauf kommen. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle mit Hilfe einer speziell präparierten Webseite
ausnutzen, um die Anwendung abstürzen zu lassen oder beliebigen Programmcode
mit den Rechten des Benutzers auszuführen.

CVE-2014-1592: Speicherverwaltungsschwachstelle in Mozilla Browser-Engine
ermöglicht das Ausführen beliebigen Programmcodes

Während des Parsens von HTML-Inhalt, der in ein mit document.open()
erzeugtes Dokument geschrieben wird. kann es dazu kommen, dass Speicher
weiterverwendet wird, obwohl dieser bereits freigegeben wurde
(use-after-free), falls ein zweites Wurzelelement angelegt wird. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle mit
Hilfe einer speziell präparierten Webseite ausnutzen, um die Anwendung
abstürzen zu lassen oder beliebigen Programmcode mit den Rechten des
Benutzers auszuführen.

CVE-2014-1591: Schwachstelle in Content Security Policy von Mozilla
ermöglicht das Ausspähen von Informationen

CSP Verletzungsberichte, die von einer Umleitung angestoßen werden,
entfernen nicht die Pfadinformationen, obwohl das in der CSP Spezifikation
vorgegeben ist. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle mit Hilfe einer speziell präparierten Webseite ausnutzen, um
an sensitive Informationen wie Benutzernamen oder Single-Sign-On-Token zu
kommen.

CVE-2014-1590: Schwachstelle in Mozilla Browser-Engine ermöglicht
Denial-of-Service-Angriff

Ein an XMLHttpRequest übergebenes JavaScript-Objekt kann unter bestimmten
Umständen zu einem Absturz der Anwendung führen. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle mit Hilfe einer
speziell präparierten Webseite ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen.

CVE-2014-1589: Schwachstelle in Mozilla Firefox ermöglicht das Umgehen von
Sicherheitsvorkehrungen

In Mozilla Firefox können durch einen Fehler in der Deklaration des Primary
Namespace von Chrome zugreifbaren CSS Stylesheets unter bestimmten Umständen
Chrome XBL Bindings von Webinhalten manipuliert werden. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstelle mit Hilfe einer
speziell präparierten Webseite ausnutzen, um Sicherheitsvorkehrungen zu
umgehen.

CVE-2014-1588: Multiple Speicherkorruptionsschwachstellen in Mozilla
Browser-Engine

Mehrere Speicherkorruptionsschwachstellen wurden in der Browser-Engine von
Mozilla Produkten wie Firefox gefunden. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstellen mit Hile einer
speziell präparierten Webseite ausnutzen, um die Anwendung abstürzen zu
lassen oder beliebigen Programmcode mit den Rechten des Benutzers der
Anwendung auszuführen.

CVE-2014-1587: Multiple Speicherkorruptionsschwachstellen in Mozilla
Browser-Engine

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1580/

Mozilla Foundation Security Advisory MFSA2014-83:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-83/

Mozilla Foundation Security Advisory MFSA2014-84:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-84/

Mozilla Foundation Security Advisory MFSA2014-85:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-85/

Mozilla Foundation Security Advisory MFSA2014-86:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-86/

Mozilla Foundation Security Advisory MFSA2014-87:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-87/

Mozilla Foundation Security Advisory MFSA2014-88:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-88/

Mozilla Foundation Security Advisory MFSA2014-89:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-89/

Mozilla Foundation Security Advisory MFSA2014-90:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-90/

Mozilla Foundation Security Advisory MFSA2014-91:
https://www.mozilla.org/en-GB/security/advisories/mfsa2014-91/

Ubuntu Security Notice USN-2424-1:
http://www.ubuntu.com/usn/usn-2424-1/

Schwachstelle CVE-2014-1587 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1587

Schwachstelle CVE-2014-1588 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1588

Schwachstelle CVE-2014-1589 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1589

Schwachstelle CVE-2014-1590 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1590

Schwachstelle CVE-2014-1591 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1591

Schwachstelle CVE-2014-1592 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1592

Schwachstelle CVE-2014-1593 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1593

Schwachstelle CVE-2014-1594 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1594

Schwachstelle CVE-2014-1595 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1595

Schwachstelle CVE-2014-8631 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8631

Schwachstelle CVE-2014-8632 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8632

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.